Debian DSA-3269-1：postgresql-9.1 - 安全更新

critical Nessus 插件 ID 83786

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已在 SQL 数据库系统 PostgreSQL-9.1 中发现多个漏洞。

- CVE-2015-3165 （远程崩溃）如果 SSL 客户端在认证超时过期前断开连接，则会造成服务器崩溃。

- CVE-2015-3166（信息暴露） snprintf() 的替换实现无法检查底层系统库调用报告的错误；可能错过的主要情况为内存不足情况。在最严重的情况下，可能导致信息暴露。

- CVE-2015-3167（可能暴露边信道密钥）在 contrib/pgcrypto 中，某些解密错误密钥的情况可能报告其他错误消息文本。
使用通用消息修复。

解决方案

升级 postgresql-9.1 程序包。

对于旧稳定发行版本 (wheezy)，已在版本 9.1.16-0+deb7u1 中修复这些问题。

对于稳定发行版本 (jessie)，已在版本 9.1.16-0+deb8u1 中修复这些问题。（Jessie 中包含的是简化版 postgresql-9.1 程序包；在生成的二进制程序包 postgresql-plperl-9.1 中只修复了 CVE-2015-3166。建议升级到 postgresql-9.4 以获取全套补丁。有关详细信息，请参阅 Jessie 发行说明。）