Amazon Linux 2 : libpq (ALASPOSTGRESQL12-2024-012)

high Nessus プラグイン ID 208050

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている libpq のバージョンは、12.20-1 より前です。したがって、ALAS2POSTGRESQL12-2024-012 のアドバイザリに記載されている脆弱性の影響を受けます。

PostgreSQL の pg_dump の Time-of-check Time-of-use (TOCTOU) 競合状態により、オブジェクト作成者が pg_dump を実行するユーザー (多くの場合スーパーユーザー) として、任意の SQL 関数を実行することができます。この攻撃には、別のリレーションタイプをビューまたは外部テーブルに置き換えることが含まれます。この攻撃は、pg_dump が起動するのを待機する必要がありますが、攻撃者がオープンなトランザクションを保持していれば、競合状態を簡単に制御できます。
PostgreSQL 16.4、15.8、14.13、13.16、12.20 より前のバージョンが影響を受けます。(CVE-2024-7348)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。