Mandriva Linux セキュリティアドバイザリ：postgresql（MDVSA-2013:142）
high Nessus プラグイン ID 66154
Language:
概要
リモート Mandriva Linux ホストには、1 つ以上のセキュリティ更新がありません。説明
postgresql で複数の脆弱性が見つかり、修正されています：PostgreSQL の 9.2.3 以前の 9.2.x、9.1.8 以前の 9.1.x、9.0.12 以前の 9.0.x、8.4.16 以前の 8.4.x、8.3.23 以前の 8.3.x は、backend/utils/adt/enum.c の enum_recv 関数を適切に宣言していません。これにより、不適切な引数で呼び出され、リモートの認証されているユーザーがサービス拒否（サーバークラッシュ）を起こすことや、細工した SQL コマンドから機密プロセスメモリを読み込むことができます。これにより、配列インデックスエラーがトリガーされることや、領域外読み込みが発生することがあります（CVE-2013-0255）。
9.2.4 より前の 9.2.x、9.1.9 より前の 9.1.x と 9.0.13 より前の 9.０.13 の PostgreSQL 引数注入の脆弱性が、リモートの攻撃者にサービス拒否（ファイルの破損）を引き起こさせる可能性があります。これによってリモートの認証済みのユーザーが、データベース名が「-」（ハイフン）で始まる接続リクエストによって、構成設定を変更して任意のコードを実行する可能性があります（CVE-2013-1899）。
9.2.4 より前の 9.2.x、9.1.9 より前の 9.1.x、9.0.13 より前の 9.0.x と 8.4.17 より前の 8.4.x の PostgreSQL は、OpenSSL を使用している時に不十分にランダムなナンバーを作成します。これにより、リモートの認証されたユーザーが詳細不明な影響を contrib/pgcrypto 関数に関連するベクターを通じて受ける可能性があります。（CVE-2013-1900）。
9.2.4 より前の 9.2.x、9.1.9 より前の 9.1.x の PostgreSQL は REPLICATION 権限を適切にチェックしないため、リモートの認証されているユーザーが（1）pg_start_backup または（2）pg_stop_backup 関数を呼び出すことで意図されたバックアップ制限をバイパスできる可能性があります（CVE-2013-1901）。
このアドバイザリでは、これらの問題に脆弱性のない最新バージョンの PostgreSQL を提供します。
ソリューション
影響を受けるパッケージを更新してください。参考資料
http://www.postgresql.org/docs/9.2/static/release-9-2-3.html
http://www.postgresql.org/docs/9.2/static/release-9-2-4.html
プラグインの詳細
深刻度: High
ID: 66154
ファイル名: mandriva_MDVSA-2013-142.nasl
バージョン: 1.13
タイプ: local
公開日: 2013/4/20
更新日: 2021/1/6
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 8.5
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:M/Au:S/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:mandriva:linux:lib64ecpg9.2_6, p-cpe:/a:mandriva:linux:lib64pq9.2_5, p-cpe:/a:mandriva:linux:postgresql9.2, p-cpe:/a:mandriva:linux:postgresql9.2-contrib, p-cpe:/a:mandriva:linux:postgresql9.2-devel, p-cpe:/a:mandriva:linux:postgresql9.2-docs, p-cpe:/a:mandriva:linux:postgresql9.2-pl, p-cpe:/a:mandriva:linux:postgresql9.2-plperl, p-cpe:/a:mandriva:linux:postgresql9.2-plpgsql, p-cpe:/a:mandriva:linux:postgresql9.2-plpython, p-cpe:/a:mandriva:linux:postgresql9.2-pltcl, p-cpe:/a:mandriva:linux:postgresql9.2-server, cpe:/o:mandriva:business_server:1
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2013/4/11
参照情報
CVE: CVE-2013-0255, CVE-2013-1899, CVE-2013-1900, CVE-2013-1901
BID: 57844, 58876, 58878, 58879
MDVSA: 2013:142