リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2025:01799-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    この更新では、postgresql17 が出荷され、postgresql16 のセキュリティの問題が修正されています

    - bsc#1230423Tom Lane が PostgreSQL パッケージラーリストで ABI 安定性がマイナーリリース間で対応されていることを確認した後、 サーバーバージョンの拡張の依存関係を完全な major.minor からそれ以降に緩和します。

    - bsc#1219340最新の修正が正しくありませんでした。依存関係を再度削除し、インストールされている場合にのみ fillup を呼び出すことでこれを改善します。

    postgresql16 が に更新されました 16.6
    * ResultRelInfo 構造体で動作する拡張の ABI ブレークを修正。
    * ALTER {ROLE|DATABASE} SET ロールの機能を復元します。
    * 論理レプリケーションスロットの restart_lsn が後退する可能性のあるケースを修正します。
    * pg_rewind の際に、まだ必要な WAL ファイルの削除を回避します。
    * 共有統計エントリのドロップに関連する競合状態を修正します。
    * pg_stat_user_indexes.idx_scan カウンターなどの統計ビューの contrib/bloom インデックスでインデックススキャンをカウントします。
    * インデックスの opclass オプションが変更されているかを確認するためにチェックする際のクラッシュを修正します。
    * 正規表現解析で切断された NFA サブグラフによって引き起こされるアサーションの失敗を回避します。
    * https://www.postgresql.org/docs/release/16.6/

    postgresql16 が に更新されました 16.5

    * CVE-2024-10976、 bsc#1233323RLS が非トップレベルテーブル参照に適用される際、キャッシュされたプランが呼び出し元のロールに依存するものとしてマークされるようにします。
    * CVE-2024-10977、 bsc#1233325SSL または GSS プロトコルのネゴシエーション中に受信したエラーメッセージを libpq が破棄するようにします。
    * CVE-2024-10978、 bsc#1233326SET SESSION AUTHORIZATION と SET ROLE の間の意図しない相互作用を修正します
    * CVE-2024-10979、 bsc#1233327信頼できる PL/Perl コードによる環境変数の変更を防ぎます。
    * https://www.postgresql.org/about/news/p-2955/* https://www.postgresql.org/docs/release/16.5/

    - PostgreSQL 17 に渡すために、libs および mini フレーバーをこれ以上ビルドしません。

      * https://www.postgresql.org/about/news/p-2910/

    postgresql17 はバージョン で出荷されます 17.2

    * CVE-2024-10976、 bsc#1233323RLS が非トップレベルテーブル参照に適用される際、キャッシュされたプランが呼び出し元のロールに依存するものとしてマークされるようにします。
    * CVE-2024-10977、 bsc#1233325SSL または GSS プロトコルのネゴシエーション中に受信したエラーメッセージを libpq が破棄するようにします。
    * CVE-2024-10978、 bsc#1233326SET SESSION AUTHORIZATION と SET ROLE の間の意図しない相互作用を修正します
    * CVE-2024-10979、 bsc#1233327信頼できる PL/Perl コードによる環境変数の変更を防ぎます。
    * https://www.postgresql.org/about/news/p-2955/* https://www.postgresql.org/docs/release/17.1/* https://www.postgresql.org/docs/release/17.2/

    17.2 にアップグレードしてください。

    * ResultRelInfo 構造体で動作する拡張の ABI ブレークを修正。
    * ALTER {ROLE|DATABASE} SET ロールの機能を復元します。
    * 論理レプリケーションスロットの restart_lsn が後退する可能性のあるケースを修正します。
    * pg_rewind の際に、まだ必要な WAL ファイルの削除を回避します。
    * 共有統計エントリのドロップに関連する競合状態を修正します。
    * pg_stat_user_indexes.idx_scan カウンターなどの統計ビューの contrib/bloom インデックスでインデックススキャンをカウントします。
    * インデックスの opclass オプションが変更されているかを確認するためにチェックする際のクラッシュを修正します。
    * 正規表現解析で切断された NFA サブグラフによって引き起こされるアサーションの失敗を回避します。

    17.0 にアップグレードしてください。

    * VACUUM 用の新しいメモリ管理システムにより、メモリ消費を減らし、全体的なバキューム処理のパフォーマンスを向上させることができます。
    * コンストラクター、識別関数、および JSON データをテーブル表現に変換する JSON_TABLE() 関数を含む、新しい SQL/JSON 機能。
    * ストリーミング I/O を使用したシーケンシャル読み取り、高同時性での書き込みスループット、btree インデックスの複数の値での検索を含む、さまざまなクエリパフォーマンスの改善。
    * 以下を含む論理レプリケーションの機能強化
      - フェールオーバーコントロール
      - 物理スタンバイから論理レプリカを作成するユーティリティ pg_createsubscriber
      - pg_upgrade は現在、パブリッシュとサブスクライバーの両方でレプリケーションスロットを保持するようになりました
    * ラウンドトリップネゴシエーションを回避するためにダイレクト TLS ハンドシェイクを実行する新しいクライアント側接続オプション、 sslnegotiation=direct。
    * pg_basebackup は現在、増分バックアップをサポートするようになりました。
    * COPY は、ON_ERROR 無視という新しいオプションを追加します。これにより、エラーの際にコピー操作を続行することができます。
    * https://www.postgresql.org/about/news/p-2936/* https://www.postgresql.org/docs/17/release-17.html

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES12 セキュリティ更新postgresql、postgresql16、postgresql17SUSE-SU-2025:01799-1]

high Nessus プラグイン ID 237698

バージョン 1.1