1 つのセキュリティの問題を修正する更新済みの postgresql パッケージが、 Red Hat Enterprise Linux 4、5、6 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。

PostgreSQLは、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。

Blowfish のハッシングを使用している時に crypt() 関数が PostgreSQL pgcrypto モジュールでパスワードの 8 ビット文字を処理する方法に符号の問題が見つかりました。非 ASCII 文字（高ビットセットの文字）の直前にある最大 3 つまでの文字が、ハッシュ結果に影響せず、有効なパスワードの長さが短くなります。これにより、いくつかの異なるパスワードが同じ値にハッシュ化されるため、ブルートフォース推測がより効率的になりました。（CVE-2011-2483）

注：CVE-2011-2483 の修正により、この更新内容をインストールした後、一部のユーザーは、PostgreSQL crypt() 関数を使用して Blowfish によりハッシュされたユーザーパスワードをバックエンド PostgreSQL データベースに保存するアプリケーションにログインできないことがあります。パスワードのハッシュプレフィックスを「$2x$」に変更することにより安全でないプロセスが特定のパスワードに対して再度有効となる可能性があります（これにより影響を受けるユーザーがログインできるようになります）。

Red Hat Enterprise Linux 6 向けの更新済み postgresql パッケージは、 PostgreSQL をバージョン 8.4.9 にアップグレードします。変更の完全なリストについては、PostgreSQL リリースノートを参照してください：

http://www.postgresql.org/docs/8.4/static/release.html

Red Hat Enterprise Linux 4 と 5 については、更新済み postgresql パッケージには、バックポートされたパッチが含まれています。

すべての PostgreSQL ユーザーは、これらの更新済みパッケージにアップグレードして、この問題を解決するすることが推奨されます。postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。

検出

RHEL 4 / 5 / 6：postgresql（RHSA-2011: 1377）

medium Nessus プラグイン ID 56533

変更ログが見つかりません