Ben de Graaff、Jelte Fennema、Jeroen van der Hamの各氏は、PostgreSQLが予想に反していくつかの認証方法で空のパスワードを使用する可能性があることを発見しました。リモートの攻撃者が空のパスワードを使用して、パスワードのログインが無効になっていると思われるサーバーを認証する可能性があります。(CVE-2017-7546)

Jeff Janes氏は、PostgreSQLがpg_user_mappingsカタログビューを不適切に処理することを発見しました。サーバー権限のないリモートの攻撃者がこの問題を利用して、特定のパスワードを取得する可能性があります。
(CVE-2017-7547)

Chapman Flack氏は、PostgreSQLがlo_put()のアクセス許可を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、ラージオブジェクトのデータを変更する可能性があります。(CVE-2017-7548)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Ubuntu 14.04 LTS / 16.04 LTS : PostgreSQLの脆弱性 (USN-3390-1)

critical Nessus プラグイン ID 102522

バージョン 1.12