pg_user_mappingsビューでは、サーバー権限のないユーザーにパスワードを漏えいします。外部サーバーのpg_user_mappingsビューへのアクセスをPostgreSQLが処理する方法に認証上の欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用し、外部サーバーの所有者によって定義されたユーザーマッピングから、取得する権限なしにパスワードを取得する可能性があります。（CVE-2017-7547）一部の認証方法で空のパスワードを認証：libpqが空のパスワード送信を拒否しても、PostgreSQLデータベースが空のパスワードで認証されることがわかりました。リモートの攻撃者がこの欠陥を利用して、空のパスワードでデータベースアカウントにアクセスする可能性があります。（CVE-2017-7546）

検出

Amazon Linux AMI：postgresql93/postgresql92（ALAS-2017-884）

critical Nessus プラグイン ID 102872

変更ログが見つかりません