リモートの Debian 12 ホストには、dla-4740 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4740-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 8 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : postgresql-15 バージョン : 15.19-0+deb12u1 CVE ID : CVE-2025-8714 CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    PostgreSQL で複数のセキュリティ上の問題が発見されました。これにより、任意コードの実行、不適切な認証、情報漏洩、権限昇格が発生する可能性があります。

    CVE-2026-6471 に対処する上流の修正では、一部の拡張機能を使用している場合、設定に追加の変更が必要になります。これは、Debian に含まれる postgresql-15-wal2json および postgresql-15-decoderbufs の拡張機能に影響を与えます。変更ログからの引用:

    | 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが任意のロード可能なライブラリを選択できました | | 論理デコーディング出力プラグインを、新しいサーバーパラメーター「output_plugin_libraries」で指定されたセットに制限します (Jacob Champion) | 以前は、レプリケーションユーザーが論理デコーディングに任意のロード可能なライブラリを選択でき、さまざまな種類の悪用が可能でした。以前の環境を壊すことなくこれをロックダウンできるように、許可された出力プラグインのホワイトリストを導入します。
    | | デフォルトでは、PostgreSQL に付属する出力プラグイン (pgoutput および test_decoding) のみが「output_plugin_libraries」に含まれます。他の出力プラグインに依存するインストール環境では、サーバーの更新後にそれらを追加する必要があります。例えば、output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder' のように設定します。

    Debian 12 bookworm においては、これらの問題はバージョン 15.19-0+deb12u1 で修正されました。

    お使いの postgresql-15 パッケージをアップグレードすることを推奨します。

    postgresql-15 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/postgresql-15

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4740 : libecpg-compat3 - セキュリティ更新

high Nessus プラグイン ID 335430

バージョン 1.2