Red Hat セキュリティアドバイザリ 2011:1377 から：

1 件のセキュリティ問題を修正する更新済みの postgresql パッケージが、 Red Hat Enterprise Linux 4、5、および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。

Blowfish のハッシングを使用している時に crypt() 関数が PostgreSQL pgcrypto モジュールでパスワードの 8 ビット文字を処理する方法に符号の問題が見つかりました。非 ASCII 文字（高ビットセットの文字）の直前にある最大 3 つまでの文字が、ハッシュ結果に影響せず、有効なパスワードの長さが短くなります。これにより、いくつかの異なるパスワードが同じ値にハッシュ化されるため、ブルートフォース推測がより効率的になりました。(CVE-2011-2483)

注：CVE-2011-2483 の修正により、この更新内容をインストールした後、一部のユーザーは PostgreSQL crypt() 関数を使用して Blowfish によりハッシュされたユーザーパスワードをバックエンド PostgreSQL データベースに保存するアプリケーションにログインできない可能性があります。パスワードのハッシュプレフィックスを「$2x$」に変更することにより安全でないプロセスが特定のパスワードに対して再度有効となる可能性があります（これにより影響を受けるユーザーがログインできるようになります）。

Red Hat Enterprise Linux 6 の場合、更新 postgresql パッケージで PostgreSQL はバージョン 8.4.9 にアップグレードされます。変更の完全なリストについては、「PostgreSQL リリースノート」を参照してください：

http://www.postgresql.org/docs/8.4/static/release.html

Red Hat Enterprise Linux 4 と 5 については、更新済み postgresql パッケージには、バックポートされたパッチが含まれています。

すべての PostgreSQL ユーザーは、これらの更新済みパッケージにアップグレードして、この問題を解決するすることが推奨されます。postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。

検出

Oracle Linux 4/5/6：postgresql（ELSA-2011-1377）

medium Nessus プラグイン ID 68370

変更ログが見つかりません