リモートの Azure Linux 3.0 ホストにインストールされている postgresql のバージョンは、 より前の です。したがって、CVE-2024-10978 のアドバイザリに記載されている脆弱性の影響を受けます。

  - PostgreSQL で誤った権限が割り当てられると、特権の低いアプリケーションユーザーが意図したものとは異なる行を表示または変更する可能性があります。攻撃するには、アプリケーションが SET ROLE、SET SESSION AUTHORIZATION、または同等の機能を使用する必要があります。この問題は、アプリケーションクエリが攻撃者のパラメーターを使用したり、クエリ結果を攻撃者に伝達したりするときに発生します。そのクエリがcurrent_setting('role')または現在のユーザーIDに反応する場合、セッションがSET ROLEまたはSET SESSION AUTHORIZATIONを使用していないかのように、データを変更または返す可能性があります。攻撃者は、どの不適切なユーザー ID が適用されるかを制御できません。SET ROLE および SET SESSION AUTHORIZATION は unveted クエリに対するサンドボックスではないため、権限の低いソースからのクエリテキストはここでは問題ありません。PostgreSQL 17.1、16.5、15.9、14.14、13.17、12.21 より前のバージョンが影響を受けます。(CVE-2024-10978)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新postgresqlCVE-2024-10978

medium Nessus プラグイン ID 215689

バージョン 1.2

バージョン 1.1

バージョン 1.2 Feb 21, 2025, 11:26 AM IAVM reference Plugin Feed: 202502211126
バージョン 1.1 Feb 11, 2025, 6:40 AM New Plugin Feed: 202502110640