远程主机上安装的 PostgreSQL 版本为 9.2.22 之前的 9.2.x 版本、9.3.18 之前的 9.3.x 版本、9.4.13 之前的 9.4.x 版本、9.5.8 之前的 9.5.x 版本或 9.6.4 之前的 9.6.x 版本。因而会受到多个漏洞的影响：- 存在一个验证绕过缺陷，某些验证方法接受空密码。(CVE-2017-7546) - 'pg_user_mappings' 目录视图中存在一个信息泄露漏洞，会把密码泄露给缺少服务器权限的用户。(CVE-2017-7547) 注意：'pg_user_mappings' 更新只会修复利用 initdb 的新创建集群中的行为。若要在现有系统上修复此问题，则需要遵循发明说明中的步骤。- lo_put() 函数中存在一个缺陷，这是因为不当检查导致忽略 ACL 的权限所致。(CVE-2017-7548)

下列程序包已升级到更高的上游版本：postgresql (9.2.23)。安全修复：- 已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) - 在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547)

pg_user_mappings 视图可向缺少服务器权限的用户泄露密码：在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) 在某些验证方法中接受空白密码：已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546)

postgresql 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。下列程序包已升级到更高的上游版本：postgresql (9.2.23)。(BZ#1484639, BZ#1484647) 安全修复：* 已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) * 在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2017-7546 的原始报告者 Ben de Graaff、Jelte Fennema、Jeroen van der Ham 和 CVE-2017-7547 的原始报告者 Jeff Janes。

来自 Red Hat 安全公告 2017:2728： postgresql 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。 下列程序包已升级到更新的上游版本： postgresql (9.2.23)。(BZ#1484639, BZ#1484647) 安全补丁： * 已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) * 在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2017-7546 的原始报告者 Ben de Graaff、Jelte Fennema 和 Jeroen van der Ham，CVE-2017-7547 的原始报告者 Jeff Janes。

远程主机受到 GLSA-201710-06 中所述漏洞的影响（PostgreSQL：多个漏洞）在 PostgreSQL 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可提升权限、造成拒绝服务情况、取得密码、造成信息遗失或取得敏感信息。解决方法：目前无任何已知的解决方法。

在 PostgreSQL 数据库系统中发现数个漏洞：CVE-2017-7486 Andrew Wheelwright 发现用户映射的限制不充分。CVE-2017-7546 一些身份验证方法中接受空密码。CVE-2017-7547 用户映射可能将数据泄露给非特权用户。针对 Debian 7“Wheezy”，这些问题已在版本 9.1.24lts2-0+deb7u1 中修复。建议您升级 postgresql-9.1 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Ben de Graaff、Jelte Fennema 和 Jeroen van der Ham 发现 PostgreSQL 在某些验证方式下允许密码为空，违反预期行为。远程攻击者可使用空密码对已禁用密码登录的服务器进行验证。(CVE-2017-7546)

Jeff Janes 发现 PostgreSQL 未能正确处理 pg_user_mappings 目录视图。无服务器权限的远程攻击者可能利用此问题获取某些密码。
(CVE-2017-7547)

Chapman Flack 发现 PostgreSQL 未能正确处理 lo_put() 权限。远程攻击者可能利用此问题更改大型对象的数据。(CVE-2017-7548)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

在 PostgreSQL 数据库系统中发现数个漏洞：- CVE-2017-7546 一些身份验证方法中接受空密码。- CVE-2017-7547 用户映射可能将数据泄漏给非特权用户。- CVE-2017-7548 lo_put() 函数会忽略 ACL。有关安全漏洞的更多深入描述，请参阅 https://www.postgresql.org/about/news/1772/

pg_user_mappings 视图可向缺少服务器权限的用户泄露密码：在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) 在某些验证方法中接受空白密码：已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) lo_put() 函数会忽略 ACL：在 PostgreSQL 处理大型对象的方式中，发现一个授权缺陷。对大型对象没有权限的经身份验证远程攻击者可能会利用此缺陷，覆盖对象的整个内容，因而导致拒绝服务。(CVE-2017-7548)

postgresql 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。下列程序包已升级到更高的上游版本：postgresql (9.2.23)。(BZ#1484639, BZ#1484647) 安全修复：* 已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) * 在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) Red Hat 在此感谢 PostgreSQL 项目报告这些问题。上游感谢 CVE-2017-7546 的原始报告者 Ben de Graaff、Jelte Fennema 和 Jeroen van der Ham，CVE-2017-7547 的原始报告者 Jeff Janes。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102527	PostgreSQL 9.2.x < 9.2.22 / 9.3.x < 9.3.18 / 9.4.x < 9.4.13 / 9.5.x < 9.5.8 / 9.6.x < 9.6.4 多种漏洞	Nessus	Databases	2017/8/16	2023/4/4	critical
103244	Scientific Linux 安全更新：SL7.x x86_64 上的 postgresql	Nessus	Scientific Linux Local Security Checks	2017/9/15	2021/1/14	critical
102872	Amazon Linux AMI : postgresql93 / postgresql92 (ALAS-2017-884)	Nessus	Amazon Linux Local Security Checks	2017/9/1	2018/4/18	critical
103230	CentOS 7 : postgresql (CESA-2017:2728)	Nessus	CentOS Local Security Checks	2017/9/15	2021/1/4	critical
103238	Oracle Linux 7 : postgresql (ELSA-2017-2728)	Nessus	Oracle Linux Local Security Checks	2017/9/15	2021/1/14	critical
103724	GLSA-201710-06：PostgreSQL：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/9	2021/1/11	critical
102368	Debian DLA-1051-1：postgresql-9.1 安全更新	Nessus	Debian Local Security Checks	2017/8/11	2021/1/11	critical
102522	Ubuntu 14.04 LTS / 16.04 LTS：PostgreSQL 漏洞 (USN-3390-1)	Nessus	Ubuntu Local Security Checks	2017/8/16	2023/10/23	critical
103755	Amazon Linux AMI : postgresql96 (ALAS-2017-908)	Nessus	Amazon Linux Local Security Checks	2017/10/11	2018/4/18	critical
102442	Debian DSA-3935-1：postgresql-9.4 - 安全更新	Nessus	Debian Local Security Checks	2017/8/14	2021/1/4	critical
102443	Debian DSA-3936-1：postgresql-9.6 - 安全更新	Nessus	Debian Local Security Checks	2017/8/14	2021/1/4	critical
102873	Amazon Linux AMI : postgresql94 / postgresql95 (ALAS-2017-885)	Nessus	Amazon Linux Local Security Checks	2017/9/1	2018/4/18	critical
103209	RHEL 7 : postgresql (RHSA-2017:2728)	Nessus	Red Hat Local Security Checks	2017/9/14	2019/10/24	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical