rh-postgresql95-postgresql 的更新现可用于 Red Hat Satellite 5.8 和 Red Hat Satellite 5.8 ELS。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。此更新仅适用于使用内嵌式或管理式 PostgreSQL 数据库的 Satellite 5.8 实例。需采取手动步骤才能完成从 postgresql92-postgresql 到 rh-postgresql95-postgresql 的迁移。若未采取这些步骤，受影响的 Satellite 会继续使用 PostgreSQL 9.2。系统会自动将 postgresql92-postgresql 升级至 rh-postgresql95-postgresql，这是 Satellite 5.8 升级内容的一部分。PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。安全修复：* 已发现一些选择性评估函数未在 pg_statistic 提供信息之前检查用户权限，可能会泄露信息。非管理数据库用户可利用此缺陷，从表格盗取无权访问的一些信息。(CVE-2017-7484) * 据发现，在设定 PGREQUIRESSL 环境变量时，PostgreSQL 客户端库 (libpq) 未强制将 TLS/SSL 用于 PostgreSQL 服务器连接。中间人攻击者可利用此缺陷将 SSL/TLS 保护从客户端与服务器之间的连接中剥离。(CVE-2017-7485) * 已发现 pg_user_mappings 视图可以向非管理数据库用户泄露外部数据库用户映射信息。对此映射具有 USAGE 权限的数据库用户在查询视图时，可以获取用户映射数据，例如用于连接到外部数据库的用户名和密码。(CVE-2017-7486) Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2017-7484 的原始报告者 Robert Haas；CVE-2017-7485 的原始报告者 Daniel Gustafsson 以及 CVE-2017-7486 的原始报告者 Andrew Wheelwright。

在 PostgreSQL 数据库系统中发现数个漏洞：CVE-2017-7484 Robert Haas 发现某些选择性评估未验证用户权限，可能导致信息泄露。- CVE-2017-7485 Daniel Gustafsson 发现 PGREQUIRESSL 环境变量不再强制执行 TLS 连接。- CVE-2017-7486 Andrew Wheelwright 发现用户映射的限制不充分。

Selectivity estimators bypass SELECT privilege checks

已发现一些选择性评估函数未在 pg_statistic 提供信息之前检查用户权限，可能会泄露信息。非特权攻击者可利用此缺陷，从表格盗取无权访问的一些信息。(CVE-2017-7484)

libpq 忽略 PGREQUIRESSL 环境变量

据发现，PGREQUIRESSL 不再强制使用 SSL/TLS 连接到 PostgreSQL 服务器。活跃的中间人攻击者可利用此缺陷将 SSL/TLS 保护从客户端与服务器之间的连接中剥离。(CVE-2017-7485)

pg_user_mappings view discloses foreign server passwords

据发现，来自 postgresql 的 pg_user_mappings 视图可能会将外部数据库的用户映射相关信息泄露给无权限的用户。对此映射具有 USAGE 权限的经身份验证的攻击者在查询视图时，可以获取用户映射数据，例如用于连接到外部数据库的用户名和密码。(CVE-2017-7486)

远程主机上安装的 PostgreSQL 版本为 9.2.21 之前的 9.2.x 版本、9.3.17 之前的 9.3.x 版本、9.4.12 之前的 9.4.x 版本、9.5.7 之前的 9.5.x 版本或 9.6.3 之前的 9.6.x 版本。因而会受到多个漏洞的影响：- 不明选择性评估功能中存在信息泄露漏洞，这是因为未在从 pg_statistic 提供信息之前，正确检查用户权限所致。经身份验证的远程攻击者可利用此问题泄露受限表格中的敏感信息。(CVE-2017-7484) - 存在一个缺陷，这是因为未正确接受 PGREQUIRESSL 环境变量设置，进而导致无法请求相应的 SSL/TLS 连接所致。中间人攻击者可加以恶意利用，在客户端和服务器之间造成不安全、非 SSL/TLS 连接。请注意，9.2.x 版不受此漏洞影响。(CVE-2017-7485) - pg_user_mappings 视图中存在一个信息泄露漏洞，允许访问可能含有从 CREATE USER MAPPING 命令保留而来之密码的用户映射。对相关外部服务器具有 USAGE 权限的经身份验证的远程攻击者可加以恶意利用，以泄露外部服务器密码。(CVE-2017-7486)

远程主机受到 GLSA-201710-06 中所述漏洞的影响（PostgreSQL：多个漏洞）在 PostgreSQL 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可提升权限、造成拒绝服务情况、取得密码、造成信息遗失或取得敏感信息。解决方法：目前无任何已知的解决方法。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102142	RHEL 5：rh-postgresql95-postgresql (RHSA-2017:1838)	Nessus	Red Hat Local Security Checks	2017/8/3	2019/10/24	medium
100165	Debian DSA-3851-1：postgresql-9.4 - 安全更新	Nessus	Debian Local Security Checks	2017/5/15	2021/1/11	high
100640	Amazon Linux AMI：postgresql93/postgresql94、postgresql95 (ALAS-2017-839)	Nessus	Amazon Linux Local Security Checks	2017/6/7	2018/4/18	high
100260	PostgreSQL 9.2.x < 9.2.21 / 9.3.x < 9.3.17 / 9.4.x < 9.4.12 / 9.5.x < 9.5.7 / 9.6.x < 9.6.3 多种漏洞	Nessus	Databases	2017/5/17	2023/4/4	high
103724	GLSA-201710-06：PostgreSQL：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/9	2021/1/11	critical

检测

插件搜索

medium

high

high

high

critical