Fedora 37 : postgresql-jdbc (2023-42d6ba9bd6)

medium Nessus プラグイン ID 194568

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 37 ホストには、FEDORA-2023-42d6ba9bd6 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- pgjdbc は、オープンソースの PostgreSQL JDBC ドライバーです。影響を受けるバージョンでは、「PreparedStatement.setText(int, InputStream)」または「PreparedStatemet.setBytea(int, InputStream)」を使用するプリペアドステートメントにより、InputStream が 2k より大きい場合に一時ファイルが作成されます。こうして作成される一時ファイルは、Unix のようなシステムで他のユーザーが読み取ることができますが、MacOS ではできません。Unix のようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。特定の JDK ファイルシステム API が JDK 1.7 でのみ追加されていたため、この修正は使用している JDK のバージョンに依存しています。Java 1.7 およびそれ以降のユーザー: この脆弱性は 4.5.0 で修正されています。Java 1.6 以前のユーザー: 利用可能なパッチはありません。パッチを適用できない場合、または Java 1.6 で実行をスタックしている場合は、システムの環境変数 java.io.tmpdir を実行ユーザーのみが所有するディレクトリに指定すると、この脆弱性が緩和されます。
(CVE-2022-41946)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存していることに注意してください。