rh-postgresql95-postgresqlの更新プログラムが、Red Hat Satellite 5.8およびRed Hat Satellite 5.8 ELSで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。この更新プログラムは、組み込まれたまたは管理されたPostgreSQLデータベースを使用しているSatellite 5.8インスタンスにのみ適用されます。postgresql92-postgresqlからrh-postgresql95-postgresqlへの移行を完了するために必要な手動の手順があります。これらの手順が実行されない場合、影響を受けるSatelliteは引き続きPostgreSQL 9.2を使用します。postgresql92-postgresqlは、Satellite 5.8へのアップグレードの一環としてrh-postgresql95-postgresqlに自動的にアップグレードされます。PostgreSQLは、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。セキュリティ修正プログラム：* 一部のselectivity estimation関数では、pg_statisticからの情報を取得する前のユーザーの権限チェックが行われず、情報が漏えいする可能性があることがわかりました。管理者ではないデータベースユーザーがこの欠陥を利用して、権限がなければアクセスできないテーブルから情報を盗む可能性があります。（CVE-2017-7484）* PostgreSQLクライアントライブラリ（libpq）が、PGREQUIRESSL環境変数を設定するときに、PostgreSQLサーバへの接続にTLS/SSLの使用を実施しないことが発見されました。中間にいる攻撃者がこの欠陥を悪用し、クライアントとサーバーの間での接続から、SSL/TLS保護を除外する可能性があります。（CVE-2017-7485）* pg_user_mappingsビューは、外部データベースへのユーザーマッピングに関する情報を、非管理データベースユーザーに漏えいする可能性があることがわかりました。このマッピングのUSAGE権限を持つデータベースユーザーは、ビューを照会するときに、外部データベースへの接続に使用されるユーザー名とパスワードなどのユーザーマッピングデータを取得する可能性があります。（CVE-2017-7486）Red Hatは、この問題を報告してくれたPostgreSQLプロジェクトに感謝の意を表します。アップストリームは、Robert Haas氏をCVE-2017-7484の、Daniel Gustafsson氏をCVE-2017-7485の、Andrew WheelwrightをCVE-2017-7486の最初の報告者として認めています。

検出

RHEL 5：rh-postgresql95-postgresql（RHSA-2017:1838）

medium Nessus プラグイン ID 102142

変更ログが見つかりません