Amazon Linux AMI：postgresql96 (ALAS-2020-1443)
high Nessus プラグイン ID 141979
Language:
概要
リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS-2020-1443のアドバイザリに記載されている複数の脆弱性の影響を受けます。- 11.3を除く11.xまで、10.8を除く10.xまで、9.6.13を除く9.6.xまで、9.5.17を除く9.5.xまでのPostgreSQLのバージョンで脆弱性が発見されました。PostgreSQLは、テーブルの列統計を維持します。ヒストグラムや最も一般的な値のリストなどの特定の統計には、列から取得した値が含まれます。PostgreSQLは、クエリプランニング中にそれらの統計を参照する前に行セキュリティポリシーを評価しません。攻撃者がこれを悪用して、特定の列の最も一般的な値を読み取る可能性があります。影響を受けるのは、攻撃者がSELECT権限を持っている列で、通常のクエリで行レベルのセキュリティが攻撃者に見える行のセットを排除する列です。（CVE-2019-10130）
- 9.4.24以前の9.4.x、9.5.19以前の9.5.x、9.6.15以前の9.6.x、10.10以前の10.x、および11.5以前の11.xのpostgresqlバージョンで、適切なSECURITY DEFINER関数を使用して任意のSQLステートメントを実行できる欠陥が見つかりました。攻撃者が関数のEXECUTE権限を取得し、関数の所有者として任意のSQLを実行する可能性があります。（CVE-2019-10208）
- 一部のPostgreSQL拡張が、インストールスクリプトでsearch_pathを安全に使用していないことが判明しました。
十分な権限を持つ攻撃者がこの欠陥を利用して、そのような拡張のインストールまたは更新中に、管理者を騙して特別に細工されたスクリプトを実行させる可能性があります。これは、12.4以前、 11.9以前、10.14以前、9.6.19以前、および9.5.23以前のPostgreSQLバージョンに影響を与えます。（CVE-2020-14350）
-PostgreSQLのALTER ... DEPENDS ON EXTENSIONでサブコマンドが承認チェックを実行しないという欠陥が見つかりました。認証された攻撃者が特定の構成でこの欠陥を利用して、関数やトリガーなどのドロップオブジェクトを実行し、データベースの破損を引き起こす可能性があります。これは、12.2以前、 11.7以前、10.12以前、および9.6.17以前のPostgreSQLバージョンに影響を与えます。（CVE-2020-1720）
Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
「yum update postgresql96」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com/ALAS-2020-1443.html
https://access.redhat.com/security/cve/CVE-2019-10130
https://access.redhat.com/security/cve/CVE-2019-10208
プラグインの詳細
深刻度: High
ID: 141979
ファイル名: ala_ALAS-2020-1443.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2020/10/28
更新日: 2020/10/28
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.5
現状値: 4.8
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS スコアのソース: CVE-2019-10208
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:postgresql96, p-cpe:/a:amazon:linux:postgresql96-contrib, p-cpe:/a:amazon:linux:postgresql96-debuginfo, p-cpe:/a:amazon:linux:postgresql96-devel, p-cpe:/a:amazon:linux:postgresql96-docs, p-cpe:/a:amazon:linux:postgresql96-libs, p-cpe:/a:amazon:linux:postgresql96-plperl, p-cpe:/a:amazon:linux:postgresql96-plpython26, p-cpe:/a:amazon:linux:postgresql96-plpython27, p-cpe:/a:amazon:linux:postgresql96-server, p-cpe:/a:amazon:linux:postgresql96-static, p-cpe:/a:amazon:linux:postgresql96-test, cpe:/o:amazon:linux
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2020/10/26
脆弱性公開日: 2019/5/9
参照情報
CVE: CVE-2019-10130, CVE-2019-10208, CVE-2020-14350, CVE-2020-1720
BID: 108452
ALAS: 2020-1443