FreeBSD：PostgreSQL -- 匿名のリモートアクセスによるデータ破損の脆弱性（3f332f16-9b6b-11e2-8fe9-08002798f6ff）

high Nessus プラグイン ID 65841

Language:

概要

リモート FreeBSD ホストに 1 つ以上のセキュリティ関連の更新が見つかりません。

説明

PostgreSQL プロジェクトによる報告：

PostgreSQL Global Development Group は、バージョン 9.2.4、9.1.9、9.0.13、および 8.4.17 を含む、現在のすべてのバージョンの PostgreSQL データベースシステムに対するセキュリティ更新をリリースしました。この更新では、バージョン 9.0 以降の高露出のセキュリティの脆弱性を修正します。影響を受けるバージョンの全ユーザーは、*速やかに*
この更新を適用することが強く推奨されます。

このリリースで修正された重大なセキュリティ問題（バージョン 9.x のみ）[CVE-2013-1899]（http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1899）
は、「-」で始まるデータベース名を含む接続リクエストを、サーバーのデータディレクトリ内のファイルを破損または破壊できるように細工することを可能にします。PostgreSQL サーバーがリッスンするポートにアクセスできるすべての者が、このリクエストを開始できます。
この問題は、NTT OSS センタの Mitsumasa Kondo 氏および Kyotaro Horiguchi 氏によって発見されました。

また、このリリースには次の 2 つのより軽微なセキュリティ修正も含まれています：
[CVE-2013-1900]（http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1900）
contrib/pgcrypto 関数によって生成された乱数は、他のデータベースユーザーによる推測が簡単である可能性があります（全バージョン）[CVE-2013-1901]
（http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1901）権限のないユーザーが、進行中のバックアップに干渉する可能性があるコマンドを実行することを誤って許可します（バージョン 9.x のみ）。