Debian DSA-1911-1：pygresql - エスケープ関数の欠如

high Nessus プラグイン ID 44776

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Python 用の PostgreSQL モジュールである pygresql に、PQescapeStringConn() を呼び出す関数がないことが判明しました。特定のマルチバイト文字エンコーディングが使用されるとき、PQescapeStringConn() が接続の charset を尊重し不十分なエスケープを防ぐので、これが必要です。新しい関数は pg_escape_string() と呼ばれ、データベース接続を最初の引数として受け入れます。古い関数の escape_string() も後方互換性のため保存されています。

これらのバインディングを使用している開発者には、コードを改良して新しい関数を使用することが推奨されます。

ソリューション

pygresql パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題はバージョン 1:3.8.1-1etch2 で修正されました。

安定版（stable）ディストリビューション（lenny）では、この問題は、バージョン 1:3.8.1-3+lenny1 で修正済みです。