リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS-2020-1443のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 11.3を除く11.xまで、10.8を除く10.xまで、9.6.13を除く9.6.xまで、9.5.17を除く9.5.xまでのPostgreSQLのバージョンで脆弱性が発見されました。PostgreSQLは、テーブルの列統計を維持します。ヒストグラムや最も一般的な値のリストなどの特定の統計には、列から取得した値が含まれます。PostgreSQLは、クエリプランニング中にそれらの統計を参照する前に行セキュリティポリシーを評価しません。攻撃者がこれを悪用して、特定の列の最も一般的な値を読み取る可能性があります。影響を受けるのは、攻撃者がSELECT権限を持っている列で、通常のクエリで行レベルのセキュリティが攻撃者に見える行のセットを排除する列です。（CVE-2019-10130）

  - 9.4.24以前の9.4.x、9.5.19以前の9.5.x、9.6.15以前の9.6.x、10.10以前の10.x、および11.5以前の11.xのpostgresqlバージョンで、適切なSECURITY DEFINER関数を使用して任意のSQLステートメントを実行できる欠陥が見つかりました。攻撃者が関数のEXECUTE権限を取得し、関数の所有者として任意のSQLを実行する可能性があります。（CVE-2019-10208）

  - 一部のPostgreSQL拡張が、インストールスクリプトでsearch_pathを安全に使用していないことが判明しました。
    十分な権限を持つ攻撃者がこの欠陥を利用して、そのような拡張のインストールまたは更新中に、管理者を騙して特別に細工されたスクリプトを実行させる可能性があります。これは、12.4以前、 11.9以前、10.14以前、9.6.19以前、および9.5.23以前のPostgreSQLバージョンに影響を与えます。（CVE-2020-14350）

  -PostgreSQLのALTER ... DEPENDS ON EXTENSIONでサブコマンドが承認チェックを実行しないという欠陥が見つかりました。認証された攻撃者が特定の構成でこの欠陥を利用して、関数やトリガーなどのドロップオブジェクトを実行し、データベースの破損を引き起こす可能性があります。これは、12.2以前、 11.7以前、10.12以前、および9.6.17以前のPostgreSQLバージョンに影響を与えます。（CVE-2020-1720）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux AMI：postgresql96 (ALAS-2020-1443)

high Nessus プラグイン ID 141979

変更ログが見つかりません