FreeBSDPostgreSQL JDBC ライブラリ -- 不適切な認証2a220a73-4759-11f0-a44a-6cc21735f730

high Nessus プラグイン ID 238440

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、2a220a73-4759-11f0-a44a-6cc21735f730 のアドバイザリに記載されている脆弱性の影響を受けます。

PostgreSQL JDBC Driverプロジェクトのレポート

クライアントは channelBinding=require の構成にかかわらず、安全でない認証へのフォールバックを許可します。SASL 以外の認証を拒否するために、チャネルバインディングに必要な処理を修正します。以前は、チャネルバインディングが必須に設定されている場合、ドライバーは非 SASL 認証メソッドのこの要件をサイレントに無視していました。これは、チャネルバインディングが明示的にリクエストされているが実際には実施されていない場合に、セキュリティの誤検出につながる可能性があります。この修正により、チャネルバインディングが必須に設定されている場合、SASL 認証以外の方法を使用する接続、または SASL 認証が適切に完了しない場合、ドライバーが接続を拒否するようになりました。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。