Red Hat セキュリティアドバイザリ 2013:1475 から：

2 つのセキュリティの問題を修正する更新済みの postgresql および postgresql84 パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。

PostgreSQL が列挙型を使用して特定のエラーを処理する方法で、ヒープベースの領域外バッファ読み込みの欠陥を引き起こす配列インデックスエラーが見つかりました。権限のないデータベースユーザーが、特別に細工された SQL クエリを発行することが可能です。このクエリが PostgreSQL サービスのサーバーコンポーネントにより処理された場合、サービス拒否（デーモンのクラッシュ）が起こったり、サーバーメモリの特定の部分が漏洩したりする可能性があります。(CVE-2013-0255)

pgcrypto contrib モジュールが内部乱数発生器を（再）初期化する方法で、欠陥が見つかりました。これにより、特定の pgcrypto 関数が使用する乱数のエントロピーでビット数が少ない状態になり、攻撃者が他の攻撃を実行する可能性があります。(CVE-2013-1900)

Red Hat は、これらの問題についてレポートしてくれた PostgreSQL プロジェクトに感謝の意を表します。Upstream は、Secunia SVCRP の Sumit Soni 氏を CVE-2013-0255 の最初の報告者として、Marko Kreen 氏を CVE-2013-1900 の最初の報告者として認めます。

これらの更新済みパッケージは、PostgreSQL をバージョン 8.4.18 にアップグレードします。これにより、これらの問題といくつかのセキュリティ以外の問題が修正されます。変更の完全なリストについては、「PostgreSQL リリースノート」を参照してください：

http://www.postgresql.org/docs/8.4/static/release-8-4-18.html

この更新をインストールした後で、次の条件の 1 つ以上を満たす汎用検索ツリー（GiST）である REINDEX コマンドを使用してリビルドすることを推奨します。

- ボックス、多角形、円またはポイントカラムの GiST インデックス

- テキスト、bytea、ビット、数値といった可変幅のデータタイプの GiST インデックス

- GiST マルチカラムインデックス

PostgreSQL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。

検出

Oracle Linux 5/6：postgresql/postgresql84（ELSA-2013-1475）

high Nessus プラグイン ID 70692

変更ログが見つかりません