Debian dsa-6438 : libecpg-compat3 - セキュリティ更新
high Nessus プラグイン ID 335238
Language:
概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 13 ホストには、dsa-6438 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6438-1 [email protected] https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 13 日 https://www.debian.org/security/faq
- -------------------------------------------------------------------------
パッケージ: postgresql-17 CVE ID : CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14672 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-14681 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385
PostgreSQL で複数のセキュリティ上の問題が発見されました。これにより、任意コードの実行、不適切な認証、情報漏洩、権限昇格が発生する可能性があります。
CVE-2026-6471 に対処する上流の修正では、一部の拡張機能を使用している場合、設定に追加の変更が必要になります。これは、Debian に含まれる postgresql-17-wal2json、postgresql-17-squeeze、postgresql-17-pg-rewrite、および postgresql-17-decoderbufs の拡張機能に影響を与えます。
変更ログからの引用:
| 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが任意のロード可能なライブラリを選択できました | | 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが論理デコーディングに任意のロード可能なライブラリを選択でき、さまざまな種類の悪用が可能でした。以前の環境を壊すことなくこれをロックダウンできるように、許可された出力プラグインのホワイトリストを導入します。
| | デフォルトでは、PostgreSQL に付属する出力プラグイン (pgoutput および test_decoding) のみが「output_plugin_libraries」に含まれます。他の出力プラグインに依存するインストール環境では、サーバーの更新後にそれらを追加する必要があります。例えば、output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder' のように設定します。
安定版ディストリビューション (trixie) では、これらの問題はバージョン 17.11-0+deb13u1 で修正されています。
お使いの postgresql-17 パッケージをアップグレードすることを推奨します。
postgresql-17 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
https://security-tracker.debian.org/tracker/postgresql-17
Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/
メーリングリスト: [email protected]
前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
libecpg-compat3 パッケージをアップグレードしてください。参考資料
https://packages.debian.org/source/trixie/postgresql-17
https://security-tracker.debian.org/tracker/CVE-2026-14662
https://security-tracker.debian.org/tracker/CVE-2026-14663
https://security-tracker.debian.org/tracker/CVE-2026-14664
https://security-tracker.debian.org/tracker/CVE-2026-14666
https://security-tracker.debian.org/tracker/CVE-2026-14668
https://security-tracker.debian.org/tracker/CVE-2026-14669
https://security-tracker.debian.org/tracker/CVE-2026-14670
https://security-tracker.debian.org/tracker/CVE-2026-14671
https://security-tracker.debian.org/tracker/CVE-2026-14672
https://security-tracker.debian.org/tracker/CVE-2026-14673
https://security-tracker.debian.org/tracker/CVE-2026-14677
https://security-tracker.debian.org/tracker/CVE-2026-14678
https://security-tracker.debian.org/tracker/CVE-2026-14679
https://security-tracker.debian.org/tracker/CVE-2026-14680
https://security-tracker.debian.org/tracker/CVE-2026-14681
https://security-tracker.debian.org/tracker/CVE-2026-15741
https://security-tracker.debian.org/tracker/CVE-2026-15742
https://security-tracker.debian.org/tracker/CVE-2026-16239
https://security-tracker.debian.org/tracker/CVE-2026-16241
https://security-tracker.debian.org/tracker/CVE-2026-18024
https://security-tracker.debian.org/tracker/CVE-2026-18408
https://security-tracker.debian.org/tracker/CVE-2026-19385
https://security-tracker.debian.org/tracker/CVE-2026-6464
https://security-tracker.debian.org/tracker/CVE-2026-6469
https://security-tracker.debian.org/tracker/CVE-2026-6470
https://security-tracker.debian.org/tracker/CVE-2026-6471
プラグインの詳細
深刻度: High
ID: 335238
ファイル名: debian_DSA-6438.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2026/8/13
更新日: 2026/8/13
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.12
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-18408
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-6473
脆弱性情報
CPE: cpe:/o:debian:debian_linux:13.0, p-cpe:/a:debian:debian_linux:libecpg-compat3, p-cpe:/a:debian:debian_linux:libecpg-dev, p-cpe:/a:debian:debian_linux:libecpg6, p-cpe:/a:debian:debian_linux:libpgtypes3, p-cpe:/a:debian:debian_linux:libpq-dev, p-cpe:/a:debian:debian_linux:libpq5, p-cpe:/a:debian:debian_linux:postgresql-17, p-cpe:/a:debian:debian_linux:postgresql-client-17, p-cpe:/a:debian:debian_linux:postgresql-doc-17, p-cpe:/a:debian:debian_linux:postgresql-plperl-17, p-cpe:/a:debian:debian_linux:postgresql-plpython3-17, p-cpe:/a:debian:debian_linux:postgresql-pltcl-17, p-cpe:/a:debian:debian_linux:postgresql-server-dev-17
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/13
脆弱性公開日: 2026/5/14
参照情報
CVE: CVE-2026-14662, CVE-2026-14663, CVE-2026-14664, CVE-2026-14666, CVE-2026-14668, CVE-2026-14669, CVE-2026-14670, CVE-2026-14671, CVE-2026-14672, CVE-2026-14673, CVE-2026-14677, CVE-2026-14678, CVE-2026-14679, CVE-2026-14680, CVE-2026-14681, CVE-2026-15741, CVE-2026-15742, CVE-2026-16239, CVE-2026-16241, CVE-2026-18024, CVE-2026-18408, CVE-2026-19385, CVE-2026-6464, CVE-2026-6469, CVE-2026-6470, CVE-2026-6471, CVE-2026-6473