リモートの Debian 13 ホストには、dsa-6438 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6438-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: postgresql-17 CVE ID : CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14672 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-14681 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    PostgreSQL で複数のセキュリティ上の問題が発見されました。これにより、任意コードの実行、不適切な認証、情報漏洩、権限昇格が発生する可能性があります。

    CVE-2026-6471 に対処する上流の修正では、一部の拡張機能を使用している場合、設定に追加の変更が必要になります。これは、Debian に含まれる postgresql-17-wal2json、postgresql-17-squeeze、postgresql-17-pg-rewrite、および postgresql-17-decoderbufs の拡張機能に影響を与えます。
    変更ログからの引用:

    | 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが任意のロード可能なライブラリを選択できました | | 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが論理デコーディングに任意のロード可能なライブラリを選択でき、さまざまな種類の悪用が可能でした。以前の環境を壊すことなくこれをロックダウンできるように、許可された出力プラグインのホワイトリストを導入します。
    | | デフォルトでは、PostgreSQL に付属する出力プラグイン (pgoutput および test_decoding) のみが「output_plugin_libraries」に含まれます。他の出力プラグインに依存するインストール環境では、サーバーの更新後にそれらを追加する必要があります。例えば、output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder' のように設定します。

    安定版ディストリビューション (trixie) では、これらの問題はバージョン 17.11-0+deb13u1 で修正されています。

    お使いの postgresql-17 パッケージをアップグレードすることを推奨します。

    postgresql-17 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/postgresql-17

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dsa-6438 : libecpg-compat3 - セキュリティ更新

high Nessus プラグイン ID 335238

バージョン 1.3