Debian dla-4740 : libecpg-compat3 - セキュリティ更新
high Nessus プラグイン ID 335430
Language:
概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 12 ホストには、dla-4740 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4740-1 [email protected] https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 8 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------
パッケージ : postgresql-15 バージョン : 15.19-0+deb12u1 CVE ID : CVE-2025-8714 CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385
PostgreSQL で複数のセキュリティ上の問題が発見されました。これにより、任意コードの実行、不適切な認証、情報漏洩、権限昇格が発生する可能性があります。
CVE-2026-6471 に対処する上流の修正では、一部の拡張機能を使用している場合、設定に追加の変更が必要になります。これは、Debian に含まれる postgresql-15-wal2json および postgresql-15-decoderbufs の拡張機能に影響を与えます。変更ログからの引用:
| 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが任意のロード可能なライブラリを選択できました | | 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが論理デコーディングに任意のロード可能なライブラリを選択でき、さまざまな種類の悪用が可能でした。以前の環境を壊すことなくこれをロックダウンできるように、許可された出力プラグインのホワイトリストを導入します。
| | デフォルトでは、PostgreSQL に付属する出力プラグイン (pgoutput および test_decoding) のみが「output_plugin_libraries」に含まれます。他の出力プラグインに依存するインストール環境では、サーバーの更新後にそれらを追加する必要があります。例えば、output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder' のように設定します。
Debian 12 bookworm においては、これらの問題はバージョン 15.19-0+deb12u1 で修正されました。
お使いの postgresql-15 パッケージをアップグレードすることを推奨します。
postgresql-15 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/postgresql-15
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名
Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
libecpg-compat3 パッケージをアップグレードしてください。参考資料
https://packages.debian.org/source/bookworm/postgresql-15
https://security-tracker.debian.org/tracker/CVE-2025-8714
https://security-tracker.debian.org/tracker/CVE-2026-14662
https://security-tracker.debian.org/tracker/CVE-2026-14663
https://security-tracker.debian.org/tracker/CVE-2026-14664
https://security-tracker.debian.org/tracker/CVE-2026-14666
https://security-tracker.debian.org/tracker/CVE-2026-14668
https://security-tracker.debian.org/tracker/CVE-2026-14669
https://security-tracker.debian.org/tracker/CVE-2026-14670
https://security-tracker.debian.org/tracker/CVE-2026-14671
https://security-tracker.debian.org/tracker/CVE-2026-14673
https://security-tracker.debian.org/tracker/CVE-2026-14677
https://security-tracker.debian.org/tracker/CVE-2026-14678
https://security-tracker.debian.org/tracker/CVE-2026-14679
https://security-tracker.debian.org/tracker/CVE-2026-14680
https://security-tracker.debian.org/tracker/CVE-2026-15741
https://security-tracker.debian.org/tracker/CVE-2026-15742
https://security-tracker.debian.org/tracker/CVE-2026-16239
https://security-tracker.debian.org/tracker/CVE-2026-16241
https://security-tracker.debian.org/tracker/CVE-2026-18024
https://security-tracker.debian.org/tracker/CVE-2026-18408
https://security-tracker.debian.org/tracker/CVE-2026-19385
https://security-tracker.debian.org/tracker/CVE-2026-6464
https://security-tracker.debian.org/tracker/CVE-2026-6469
https://security-tracker.debian.org/tracker/CVE-2026-6470
https://security-tracker.debian.org/tracker/CVE-2026-6471
プラグインの詳細
深刻度: High
ID: 335430
ファイル名: debian_DLA-4740.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2026/8/14
更新日: 2026/8/14
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 57.88
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-18408
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2026-6473
脆弱性情報
CPE: cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:libecpg-compat3, p-cpe:/a:debian:debian_linux:libecpg-dev, p-cpe:/a:debian:debian_linux:libecpg6, p-cpe:/a:debian:debian_linux:libpgtypes3, p-cpe:/a:debian:debian_linux:libpq-dev, p-cpe:/a:debian:debian_linux:libpq5, p-cpe:/a:debian:debian_linux:postgresql-15, p-cpe:/a:debian:debian_linux:postgresql-client-15, p-cpe:/a:debian:debian_linux:postgresql-doc-15, p-cpe:/a:debian:debian_linux:postgresql-plperl-15, p-cpe:/a:debian:debian_linux:postgresql-plpython3-15, p-cpe:/a:debian:debian_linux:postgresql-pltcl-15, p-cpe:/a:debian:debian_linux:postgresql-server-dev-15
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/8/14
脆弱性公開日: 2025/8/14
参照情報
CVE: CVE-2025-8714, CVE-2026-14662, CVE-2026-14663, CVE-2026-14664, CVE-2026-14666, CVE-2026-14668, CVE-2026-14669, CVE-2026-14670, CVE-2026-14671, CVE-2026-14673, CVE-2026-14677, CVE-2026-14678, CVE-2026-14679, CVE-2026-14680, CVE-2026-15741, CVE-2026-15742, CVE-2026-16239, CVE-2026-16241, CVE-2026-18024, CVE-2026-18408, CVE-2026-19385, CVE-2026-6464, CVE-2026-6469, CVE-2026-6470, CVE-2026-6471, CVE-2026-6473