远程 Redhat Enterprise Linux 6/7 主机上安装的多个程序包受到 RHSA-2015:0750 公告中提及的多个漏洞影响。

    PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。

    在 PostgreSQL 数据库服务器处理某些错误消息的方式中发现信息泄漏缺陷。通过观察执行查询时生成的限制违反错误消息，经认证的数据库用户可能获取其不具备执行权限的查询的结果。(CVE-2014-8161)

    在 PostgreSQL 处理特定数值格式的方式中发现缓冲区溢出缺陷。经认证的数据库用户可使用特别构建的时间戳格式模板导致 PostgreSQL 崩溃，或在特定情况下以运行 PostgreSQL 的用户的权限执行任意代码。(CVE-2015-0241)

    在 PostgreSQL 的 pgcrypto 模块中发现一个堆栈缓冲区溢出缺陷。
    经认证的数据库用户可利用此缺陷造成 PostgreSQL 崩溃，或可以运行 PostgreSQL 的用户的权限执行任意代码。(CVE-2015-0243)

    在 PostgreSQL 处理协议同步期间所生成的特定错误的方式中发现一个缺陷。经认证的数据库用户可利用此缺陷向现有连接中注入查询。
    (CVE-2015-0244)

    Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2014-8161 的原始报告者 Stephen Frost；感谢 CVE-2015-0241 的原始报告者 Andres Freund、Peter Geoghegan、Bernd Helmle 和 Noah Misch；感谢 CVE-2015-0243 的原始报告者 Marko Tiikkaja 以及 CVE-2015-0244 的原始报告者 Emil Lenngren。

    建议所有 PostgreSQL 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的补丁。如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6 / 7：postgresql (RHSA-2015:0750)

critical Nessus 插件 ID 82466

未找到变更日志