3 つのセキュリティ問題を修正する更新済みの postgresql84 パッケージと postgresql パッケージが、それぞれ Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。

pg_dump ユーティリティは、それが作り出す SQL スクリプトのコメントに、オブジェクト名をそのまま挿入していました。権限のないデータベースユーザーは、その名前に改行文字に続いて SQL コマンドがあるオブジェクトを作成することがあります。
その SQL コマンドは、後にバックアップダンプを復元するときに、特権ユーザーにより実行される場合があり、権限昇格ができてしまいます。
（CVE-2012-0868）

SSL 証明書の検証を行うように構成された場合、PostgreSQL は、証明書の共通名フィールドで最初の 31 文字のみをチェックしていました。構成にもよりますが、これにより、攻撃者は、信頼できる認証局が別の名前に対して発行した証明書を使用しているサーバーやクライアントになりすます可能性があります。（CVE-2012-0867）

CREATE TRIGGER は、呼び出されるトリガー関数で、許可チェックを行っていませんでした。これにより、認証されたデータベースユーザーは、自ら選択するデータで、権限のあるトリガー関数を呼び出すことができる場合があります。
（CVE-2012-0866）

これらの更新済みパッケージでは、PostgreSQL をバージョン 8.4.11 にアップグレードします。これにより、これらの問題および複数のデータ破損の問題や、重要度の低い非セキュリティ問題が修正されています。変更の完全なリストについては、「PostgreSQL リリースノート」を参照してください：

http://www.postgresql.org/docs/8.4/static/release.html

PostgreSQL の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。

検出

CentOS 5 / 6：postgresql / postgresql84（CESA-2012:0678）

medium Nessus プラグイン ID 59214

変更ログが見つかりません