リモートのMiracleLinux 4ホストには、AXSA:2017-1728:01アドバイザリに記載されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム (DBMS) です。
    基本の postgresql パッケージには、PostgreSQL DBMS サーバーにアクセスするために必要なクライアントプログラムと、システム全体の HTML ドキュメントが含まれています。これらのクライアントプログラムは、PostgreSQL サーバーと同じマシン上、または、ネットワーク接続により PostgreSQL サーバーにアクセスするリモートマシン上にも配置できます。PostgreSQL サーバーは、postgresql-server サブパッケージに含まれています。
    このリリースで修正されたセキュリティ問題 CVE-2017-7484 より前の PostgreSQL、 9.2.219.3.17より前の 9.3.x 、 9.4.x より前の []、 9.5.x より前の 9.4.12、[ 9.5.7より前の 9.6.x9.6.3 の PostgreSQL の一部の選択性推定関数が、ユーザーをチェックしないことが判明しました。 pg_statistic からの情報を提供する前に権限を付与し、情報を漏洩する可能性があります。
    権限のない攻撃者がこの欠陥を悪用して、権限がなければアクセスできないテーブルから情報を盗む可能性があります。
    CVE-2017-7485 より前の PostgreSQL 9.3.x 、 9.3.179.4.x より前の 9.4.12、 9.5.x より前の 9.5.7]、 9.6.x より前の 9.6.3において、PGREQUIRESSL環境変数が PostgreSQL サーバーへの SSL/TLS 接続を強制していないことが判明しました。 。中間にいる攻撃者がこの欠陥を悪用し、クライアントとサーバーの間での接続から、SSL/TLS保護を除外する可能性があります。
    CVE-2017-7486 PostgreSQL バージョン 8.4 - 9.6 は pg_user_mappings ビューで情報漏洩に脆弱です。これにより、外部サーバーのパスワードが、関連する外部サーバー上で USAGE 権限を持つユーザーに漏洩します。
    次のパッケージが新しいアップストリームバージョンにアップグレードされましたrh-postgresql94-postgresql9.4.12]

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MiracleLinux 4rh-postgresql94-postgresql-9.4.12-1.AXS4AXSA:2017-1728:01

high Nessus プラグイン ID 290040

バージョン 1.1