PostgreSQLデータベースシステムで、複数の脆弱性が見つかりました。

CVE-2020-25694

Peter Eisentraut氏は、データベースの再接続が、暗号化などの元の接続からオプションをドロップする可能性があることを発見しました。これにより、情報漏洩または中間者攻撃が発生する可能性があります。

CVE-2020-25695

Etienne Stalmans氏は、スキーマで非一時オブジェクトを作成する権限を持つユーザーが、任意のSQL関数をスーパーユーザーとして実行できることを報告しました。

CVE-2020-25696

Nick Cleaton氏は、\gsetコマンドがpsqlの動作を制御する変数を変更していたことを発見しました。これにより、セキュリティが侵害されたサーバーまたは悪意のあるサーバーが、ユーザーセッションで任意のコードを実行する可能性がありました。

Debian 9 'Stretch'では、これらの問題はバージョン9.6.20-0+deb9u1で修正されています。

お使いのpostgresql-9.6パッケージをアップグレードすることを推奨します。

postgresql-9.6の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/postgresql-9.6

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2478-1 : postgresql-9.6のセキュリティ更新

high Nessus プラグイン ID 143461

バージョン 1.9

バージョン 1.8

バージョン 1.9 Feb 7, 2024, 4:20 PM CVSSv3 score source (set to "CVE-2020-25695") Plugin Feed: 202402071620
バージョン 1.8 Feb 7, 2024, 2:22 PM CVSSv3 score source (set to "CVE-2020-25695") Plugin Feed: 202402071422