PostgreSQL の 8.3.20より前の 8.3、8.4.13 より前の 8.4、9.0.9 より前の 9.0、および 9.1.5より前の 9.1では、contrib/xml2 における libxslt サポートが、ファイルおよび URL へのアクセスを適切に制限しません。このため、リモートの認証された攻撃者が、 (1) libxslt セキュリティオプションにより許可されているスタイルシートコマンド、または (2) xslt_process 機能を利用することで、データを改ざんしたり、機密情報を取得したり、任意の外部ホストへの発信トラフィックを発生させたりする可能性があります。これは、XML 外部エンティティ (別名 XXE) 問題に関係します。

検出

Amazon Linux AMI：postgresql9 (ALAS-2012-121)

medium Nessus プラグイン ID 69611

変更ログが見つかりません