Blowfish のハッシングを使用している時に crypt() 関数が PostgreSQL pgcrypto モジュールでパスワードの 8 ビット文字を処理する方法に符号の問題が見つかりました。非 ASCII 文字 (高ビットセットの文字) の直前にある最大 3 つまでの文字が、ハッシュ結果に影響せず、有効なパスワードの長さが短くなります。これにより、いくつかの異なるパスワードが同じ値にハッシュ化されるため、ブルートフォース推測がより効率的になりました。 (CVE-2011-2483)

注：CVE-2011-2483 の修正により、この更新内容をインストールした後、一部のユーザーは、PostgreSQL crypt() 関数を使用して Blowfish によりハッシュされたユーザーパスワードをバックエンド PostgreSQL データベースに保存するアプリケーションにログインできないことがあります。パスワードのハッシュプレフィックスを「$2x$」に変更することにより安全でないプロセスが特定のパスワードに対して再度有効となる可能性があります (これにより影響を受けるユーザーがログインできるようになります) 。

検出

Amazon Linux AMI：postgresql (ALAS-2011-12)

medium Nessus プラグイン ID 69571

変更ログが見つかりません