AlmaLinux 9.2 [TuxCare] 安全更新：postgresql / postgresql-contrib / postgresql-docs / etc 多种漏洞 （ALMALINUX9.2：CLSA-2026：1792568604）
high Nessus 插件 ID 369485
语言：
简介
AlmaLinux 主机缺少一个或多个安全更新。描述
AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1792568604公告中提及的多个漏洞的影响。- PostgreSQL 中的明文存储 pgcrypto 禁用的密码允许用户通过直接观察错误密码文本来恢复明文。OpenSSL 版本和 OpenSSL 配置会决定禁用的密码。如果应用程序接受加密数据作为输入，即使使用错误的密钥，解密也会成功。这继而失去修改检测代码 （MDC） 的适度保护。受影响的函数为 pgp_sym_encrypt、pgp_sym_decrypt、pgp_pub_encrypt、pgp_pub_decrypt、pgp_sym_encrypt_bytea、pgp_sym_decrypt_bytea、pgp_pub_encrypt_bytea 和 pgp_pub_decrypt_bytea。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14663)
- PostgreSQL 中对角色成员身份、角色属性和数据库所有权变更的跟踪不完整，允许查询在这些变更需要不同的策略之后，通过计划重用方式继续使用缓存的行级安全策略。过时策略会持续到其他事件使缓存失效或连接终止使会话结束为止。这将允许用户完成最近允许但现在已禁止的读取和修改。攻击者必须根据特定应用程序的权限删除模式和特定于角色的行安全策略来定制攻击。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14666)
- PostgreSQL 中不受信任的搜索路径 amcheck 允许 amcheck 函数 EXECUTE 权限的被授予者通过在调用 amcheck 函数之前设置恶意搜索路径，以依赖于搜索路径的表达式索引的所有者身份执行任意函数。在主要版本 18、16、15 和 14 中，低于 PostgreSQL 18.6、16.15、15.19 和 14.24的次要版本会受影响。PostgreSQL 17 不受影响。（CVE-2026-14673）
- PostgreSQL 中的缓冲区读取越界 pg_trgm索引 picksplit 函数读取超过堆缓冲区的末尾。这可能允许表维护者通过索引拆分选择的有损信号推断出有限的内存值。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14678)
- PostgreSQL ascii（） SQL 函数中的缓冲区读取越界允许用户在特定分配结束后通过构建的文本值泄露最多 3 个字节。这是已修复的相同类别的缺陷 CVE-2026-2006 ，不过此实例的影响较小。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-18024)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 TuxCare 公告 ALMALINUX9.2：CLSA-2026：1792568604 中的指南更新受影响的程序包。另见
插件详情
严重性: High
ID: 369485
文件名: tuxcare_alma_linux_9.2_CLSA-2026-1792568604.nasl
版本: 1.1
类型: Local
发布时间: 2026/10/21
最近更新时间: 2026/10/21
支持的传感器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.21
Vendor
Vendor Severity: Critical
CVSS v2
风险因素: High
基本分数: 7.6
时间分数: 5.6
矢量: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-6464
CVSS v3
风险因素: High
基本分数: 8.1
时间分数: 7.1
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
易利用性: No known exploits are available
补丁发布日期: 2026/10/21
漏洞发布日期: 2026/8/13
参考资料信息
CVE: CVE-2026-14663, CVE-2026-14666, CVE-2026-14673, CVE-2026-14678, CVE-2026-18024, CVE-2026-6464, CVE-2026-6470
CLSA: 2026:1792568604