远程主机上安装的 PostgreSQL 版本为低于 9.2.22 的 9.2.x、低于 9.3.18 的 9.3.x、低于 9.4.13 的 9.4.x、低于 9.5.8 的 9.5.x 或低于 9.6.4 的 9.6.x。因此，该服务器受到多个漏洞的影响：

  - 存在身份验证绕过缺陷，某些身份验证方法中接受空密码。(CVE-2017-7546)

  - “pg_user_mappings”目录视图中存在一个信息泄露漏洞，会把密码泄露给缺少服务器权限的用户。(CVE-2017-7547)

    注意：“pg_user_mappings”更新只会修复利用 initdb 的新创建集群中的行为。若要在现有系统上修复此问题，则需要遵循发明说明中的步骤。

  - lo_put() 函数中存在一个缺陷，这是因为不当检查导致忽略 ACL 的权限所致。(CVE-2017-7548)

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:2677 公告中提及的多个漏洞影响。

    PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。

    下列程序包已升级到更高的上游版本：rh-postgresql95-postgresql (9.5.9)。
    （BZ#1484637、BZ#1484642、BZ#1484648）

    安全修复：

    * 已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546)

    * 在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547)

    * 在 PostgreSQL 处理大型对象的方式中，发现一个授权缺陷。对大型对象没有权限的经身份验证远程攻击者可能会利用此缺陷，覆盖对象的整个内容，因而导致拒绝服务。(CVE-2017-7548)

    Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2017-7546 的原始报告者 Ben de Graaff、Jelte Fennema 和 Jeroen van der Ham，CVE-2017-7547 的原始报告者 Jeff Janes，以及 CVE-2017-7548 的原始报告者 Chapman Flack。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-201710-06 中所述漏洞的影响（PostgreSQL：多个漏洞）在 PostgreSQL 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可提升权限、造成拒绝服务情况、取得密码、造成信息遗失或取得敏感信息。解决方法：目前无任何已知的解决方法。

在 PostgreSQL 数据库系统中发现数个漏洞：- CVE-2017-7546 一些身份验证方法中接受空密码。- CVE-2017-7547 用户映射可能将数据泄漏给非特权用户。- CVE-2017-7548 lo_put() 函数会忽略 ACL。有关安全漏洞的更多深入描述，请参阅 https://www.postgresql.org/about/news/1772/

pg_user_mappings 视图可向缺少服务器权限的用户泄露密码：在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) 在某些验证方法中接受空白密码：已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) lo_put() 函数会忽略 ACL：在 PostgreSQL 处理大型对象的方式中，发现一个授权缺陷。对大型对象没有权限的经身份验证远程攻击者可能会利用此缺陷，覆盖对象的整个内容，因而导致拒绝服务。(CVE-2017-7548)

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:2678 公告中提及的多个漏洞影响。

    PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。

    下列程序包已升级到更高的上游版本：rh-postgresql94-postgresql (9.4.14)。（BZ#1484635、BZ#1484638、BZ#1484644）

    安全修复：

    * 已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546)

    * 在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547)

    * 在 PostgreSQL 处理大型对象的方式中，发现一个授权缺陷。对大型对象没有权限的经身份验证远程攻击者可能会利用此缺陷，覆盖对象的整个内容，因而导致拒绝服务。(CVE-2017-7548)

    Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2017-7546 的原始报告者 Ben de Graaff、Jelte Fennema 和 Jeroen van der Ham，CVE-2017-7547 的原始报告者 Jeff Janes，以及 CVE-2017-7548 的原始报告者 Chapman Flack。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Ben de Graaff、Jelte Fennema 和 Jeroen van der Ham 发现 PostgreSQL 在某些验证方式下允许密码为空，违反预期行为。远程攻击者可使用空密码对已禁用密码登录的服务器进行验证。(CVE-2017-7546)

Jeff Janes 发现 PostgreSQL 未能正确处理 pg_user_mappings 目录视图。无服务器权限的远程攻击者可能利用此问题获取某些密码。
(CVE-2017-7547)

Chapman Flack 发现 PostgreSQL 未能正确处理 lo_put() 权限。远程攻击者可能利用此问题更改大型对象的数据。(CVE-2017-7548)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102527	PostgreSQL 9.2.x < 9.2.22 / 9.3.x < 9.3.18 / 9.4.x < 9.4.13 / 9.5.x < 9.5.8 / 9.6.x < 9.6.4 多个漏洞	Nessus	Databases	2017/8/16	2025/2/5	critical
210267	RHEL 6 / 7 : rh-postgresql95-postgresql (RHSA-2017:2677)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/5	critical
103724	GLSA-201710-06：PostgreSQL：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/9	2021/1/11	critical
102442	Debian DSA-3935-1：postgresql-9.4 - 安全更新	Nessus	Debian Local Security Checks	2017/8/14	2021/1/4	critical
102443	Debian DSA-3936-1：postgresql-9.6 - 安全更新	Nessus	Debian Local Security Checks	2017/8/14	2021/1/4	critical
102873	Amazon Linux AMI : postgresql94 / postgresql95 (ALAS-2017-885)	Nessus	Amazon Linux Local Security Checks	2017/9/1	2018/4/18	critical
210315	RHEL 6 / 7：rh-postgresql94-postgresql (RHSA-2017:2678)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/5	critical
102522	Ubuntu 14.04 LTS / 16.04 LTS：PostgreSQL 漏洞 (USN-3390-1)	Nessus	Ubuntu Local Security Checks	2017/8/16	2024/8/27	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical