1 つのセキュリティ問題を修正する更新済み postgresql パッケージが、 Red Hat Enterprise Linux 6 に使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。PL/Perl および PL/Tcl により、ユーザーは Perl および Tcl 言語で、 PostgreSQL 関数を記述できます。新しいの PostgreSQL 関数を作成する際に使用できる、PostgreSQL の SECURITY DEFINER パラメーターでは、当該関数を作成したユーザーの権限で当該関数を実行することが指定されています。

ユーザーが PL/Perl および PL/Tcl 言語の機能を利用して、別のユーザーが作成した SECURITY DEFINER 関数の動作を変更できることがわかりました。PL/Perl または PL/Tcl 言語を使用して SECURITY DEFINER 関数を実装した場合、同一セッションで後続の呼び出しが行われる間、認証されたデータベースユーザーが、 PL/Perl または PL/Tcl スクリプトを使用して、当該関数の動作を変更する可能性があります。これにより、SECURITY DEFINER 関数を作成したユーザーの権限で変更または注入されたコードが実行され、権限昇格につながる可能性があります。
（CVE-2010-3433）

これらの更新済みの postgresql パッケージは、PostgreSQL をバージョン 8.4.5 にアップグレードします。
変更のリストについては、「PostgreSQL リリースノート」を参照してください：

http://www.postgresql.org/docs/8.4/static/release.html

すべての PostgreSQL ユーザーは、これらの更新済みパッケージにアップグレードして、この問題を解決するすることが推奨されます。postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。

検出

RHEL 6：postgresql（RHSA-2010:0908）

medium Nessus プラグイン ID 50703

変更ログが見つかりません