远程 Debian 13 主机上安装的多个程序包受到 dsa-6438 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6438-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-17 CVE ID：CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14672 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-14681 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致执行任意代码、身份验证错误、信息泄露或特权提升。

    如果使用某些扩展，上 CVE-2026-6471 游补丁需要对配置进行更多更改。这会影响 Debian 中包含的 postgresql-17-wal2json、postgresql-17-squeeze、postgresql-17-pg-rewrite 和 postgresql-17-decoderbufs 扩展。
    引用变更日志：

    |将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库 | | 将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库用于逻辑解码，允许各种漏洞利用。要允许在不中断有效的设置的情况下将其锁定 | 之前，引入允许的输出插件的白名单。
    | | 默认情况下，仅作为 PostgreSQL（“pgoutput”和“test_decoding”）一部分运输的输出插件包含在“output_plugin_libraries”中。依赖于其他输出插件必须在更新服务器后添加它们，例如 | | output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder'

    对于稳定发行版本 (trixie)，已在版本 17.11-0+deb13u1 中修复这些问题。

    建议您升级 postgresql-17 程序包。

    如需了解 postgresql-17 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-17

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dla-4740 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4740-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 8 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：postgresql-15 版本：15.19-0+deb12u1 CVE ID：CVE-2025-8714 CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致执行任意代码、身份验证错误、信息泄露或特权提升。

    如果使用某些扩展，上 CVE-2026-6471 游补丁需要对配置进行更多更改。这会影响 Debian 中包含的 postgresql-15-wal2json 和 postgresql-15-decoderbufs 扩展。引用变更日志：

    |将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库 | | 将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库用于逻辑解码，允许各种漏洞利用。要允许在不中断有效的设置的情况下将其锁定 | 之前，引入允许的输出插件的白名单。
    | | 默认情况下，仅作为 PostgreSQL（“pgoutput”和“test_decoding”）一部分运输的输出插件包含在“output_plugin_libraries”中。依赖于其他输出插件必须在更新服务器后添加它们，例如 | | output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder'

    对于 Debian 12 bookworm，已在 15.19-0+deb12u1 版本中修复这些问题。

    建议您升级 postgresql-15 程序包。

    如需了解 postgresql-15 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-15

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 PostgreSQL 版本为低于 14.24 的 14 版 、低于 15.19 的 15 版、低于 16.15 的 16 版、低于 17.11 的 17 版或低于 18.6 的 18 版。因此，该数据库可能受到多个漏洞的影响：

  - 与 PostgreSQL“内部”数据类型参数的类型混淆允许任何用户通过调用具有该参数类型的函数，以运行数据库的操作系统用户的身份执行任意代码。“internal”类型表示一类相互不兼容、不适合从 SQL 访问的数据结构。
    系统的预期目标是阻止此类函数调用，但这种预防存在间隙。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14680)

  - PostgreSQL tsvector 和 tsquery 数据类型函数中的整数回绕，允许非特权数据库用户通过构建的大型输入，造成服务器分配大小过小并写入越界。这可能以运行数据库的操作系统用户的身份执行任意代码。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14662)

  - PostgreSQL regexp 中的堆缓冲区溢出允许查询作者以运行数据库的操作系统用户的身份，通过无法通过编码验证的文本执行任意代码。这与 CVE-2026-2006具有相同的传统，但此案例在pg_wchar中循环时涉及意外的数据增长。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14664)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PostgreSQL 32 位版本的 pltcl 和 plperl 中的整数回绕允许对象创建者通过构建的函数正文，造成服务器减小分配大小并写入越界。这可能以运行数据库的操作系统用户身份执行任意代码。 CVE-2026-6473 修复了类似的问题。PostgreSQL 18.6、17.11、16.15、15.19 和 14.24之前的版本受到影响。(CVE-2026-14677)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
335238	Debian dsa-6438：libecpg-compat3 - 安全更新	Nessus	Debian Local Security Checks	2026/8/13	2026/8/28	high
335430	Debian dla-4740：libecpg-compat3 - 安全更新	Nessus	Debian Local Security Checks	2026/8/14	2026/8/21	high
342120	PostgreSQL 14.x < 14.24 / 15.x < 15.19 / 16.x < 16.15 / 17.x < 17.11 / 18.x < 18.6 多个漏洞	Nessus	Databases	2026/9/1	2026/9/2	high
335220	Linux Distros 未修补的漏洞：CVE-2026-14677	Nessus	Misc.	2026/8/13	2026/8/31	high

检测

插件搜索

high

high

high

high