postgresql10用のこの更新は次の問題を修正します：

PostgreSQL 10が10.5に更新します：

https://www.postgresql.org/about/news/1851/

https://www.postgresql.org/docs/current/static/release-10-5.html

ダンプ/復元は、実行している 10.X に対して必須ではありません。ただし、adminpack拡張を使用している場合は、以下の最初の変更ログエントリに従って更新する必要があります。また、以下の2つ目と3つ目の変更ログエントリで言及されている間違いを含む関数の影響を受ける場合は、データベースカタログを修正する手順を実行する必要があります。

セキュリティの問題を修正：CVE-2018-1115：contrib/adminpackのpg_logfile_rotate()関数からパブリック実行権限を削除します。pg_logfile_rotate()は、コア関数pg_rotate_logfile()の非推奨ラッパーです。ハードコードされたスーパーユーザーチェックではなく、アクセス制御のためにSQL権限に依存するようにその関数が変更された場合は、pg_logfile_rotate()も更新されるべきでしたが、その必要性がありませんでした。そのため、adminpackがインストールされている場合は、任意のユーザーがログファイルローテーションをリクエストし、マイナーなセキュリティ問題を引き起こす可能性があります。
この更新のインストール後に、管理者が、adminpackがインストールされている各データベースでALTER EXTENSION adminpack UPDATEを実行し、adminpackを更新する必要があります。（bsc#1091610）

CVE-2018-10915：libpqは、接続間の内部状態を適切にリセットできませんでした。影響を受けるlibpqのバージョンが、信頼できない入力の「host」または「hostaddr」接続パラメーターとともに使用される場合、攻撃者はPQescape()関数の不具合を引き起こすことでクライアント側の接続セキュリティ機能をバイパスし、より高度な権限がある接続へのアクセスを入手するか、SQLインジェクションを通じて別の影響を与える可能性がありました。（bsc#1104199）

CVE-2018-10925：「INSERT ...ON CONFLICT DO UPDATE」に関する特定のステートメントでPostgreSQLが適切に承認を確認できないことがわかりました。「CREATE TABLE」権限を持つ攻撃者がこれを悪用して、任意のバイトのサーバーメモリを読み取る可能性がありました。攻撃者が特定のテーブルに対して特定の「INSERT」権限と「UPDATE」権限も持っていた場合、攻撃者はこれを悪用して同じテーブルの他の列を更新する可能性がありました（bsc#1104202）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

SUSE SLED15 / SLES15セキュリティ更新プログラム：postgresql10 (SUSE-SU-2018:2564-1)

critical Nessus プラグイン ID 120090

バージョン 1.5