GLSA-201810-08：PostgreSQL：複数の脆弱性

critical Nessus プラグイン ID 118508

Language:

概要

リモートのGentooホストに1つ以上のセキュリティ関連のパッチがありません。

説明

リモートホストは、GLSA-201810-08（PostgreSQL：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がPostgreSQLで発見されています。詳細については、記載されているCVE識別番号を参照してください。加えて、GentooのPostgreSQLのインストールが、ユーザーにより制御されるパスでOpenRCのcheckpath()を呼ぶrunscriptによる権限昇格の脆弱性を持っており、PostgreSQLを実行しているユーザーが任意のプロセスをPIDファイル操作を介して強制終了することを可能にしていたことが判明しました。影響：リモートの攻撃者が、特定のクライアント側の接続セキュリティ機能をバイパスしたり、任意のサーバーメモリを読み取ったり、または特定のデータを変更したりする可能性があります。加えて、ローカルの攻撃者が任意のプロセスを強制終了することで、権限を取得したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

ソリューション

PostgreSQL 9.3 までのの全ユーザーは、最新版にアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-db/postgresql-9.3.24:9.3' PostgreSQL 9.4 の全ユーザーは、最新版にアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-db/postgresql-9.4.19:9.4' PostgreSQL 9.5 の全ユーザーは、最新版にアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-db/postgresql-9.5.14:9.5' PostgreSQL 9.6 の全ユーザーは、最新版にアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-db/postgresql-9.6.10:9.6' PostgreSQL 10 の全ユーザーは、最新版にアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-db/postgresql-10.5:10'