Scientific Linux セキュリティ更新：SL5.x、SL6.x i386/x86_64 の postgresql84 と postgresql
medium Nessus プラグイン ID 72699
Language:
概要
リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。説明
PostgreSQL の日時の実装で、複数のスタックベースのバッファオーバーフローの欠陥が見つかりました。認証されたデータベースのユーザーが、特別に細工された日時の値を提示する可能性があります。これが処理されると、 PostgreSQL がクラッシュしたり、PostgreSQL を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2014-0063）
PostgreSQL のさまざまなタイプ入力関数に、ヒープベースのバッファオーバーフローを引き起こす複数の整数オーバーフローの欠陥が見つかりました。
認証されたデータベースのユーザーが、これらの欠陥を利用して、PostgreSQL をクラッシュさせたり、PostgreSQL を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2014-0064）
PostgreSQL に、複数の潜在的なバッファオーバーフローの欠陥が見つかりました。認証されたデータベースのユーザーが、これらの欠陥を利用して、PostgreSQL をクラッシュさせたり、PostgreSQL を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2014-0065）
PostgreSQL データベースで、データベースのユーザーに、「ADMIN」オプションを指定せずに SQL の役割を許可していることがわかりました。これにより、許可されたユーザーが、許可された役割から他のユーザーを削除することが可能でした。認証されたデータベースのユーザーが、この欠陥を利用して、アクセスが許可されていたユーザーを SQL の役割から削除する可能性があります。（CVE-2014-0060）
PostgreSQL の手続き型言語（PL）で提供されるバリデーター関数に、欠陥が見つかりました。認証されたデータベースのユーザーが、この欠陥を利用して、自分の権限を昇格する可能性があります。（CVE-2014-0061）
CREATE INDEX コマンドが、インデックスを作成する必要のあるテーブルの検索を複数回個別に行う方法で、競合状態が見つかりました。認証されたデータベースのユーザーが、この欠陥を利用して、自分の権限を昇格する可能性があります。（CVE-2014-0062）
PostgreSQL の chkpass 拡張が、crypt() 関数の戻り値をチェックしていないことがわかりました。認証されたデータベースのユーザーが、この欠陥を利用して、NULL ポインターデリファレンスにより、 PostgreSQL をクラッシュさせる可能性があります。（CVE-2014-0066）
これらの更新済みパッケージは、PostgreSQL をバージョン 8.4.20 にアップグレードします。これにより、これらの問題といくつかのセキュリティ以外の問題が修正されます。変更の完全なリストについては、「PostgreSQL リリースノート」を参照してください：
http://www.postgresql.org/docs/8.4/static/release-8-4-19.html http://www.postgresql.org/docs/8.4/static/release-8-4-20.html
postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://www.postgresql.org/docs/8.4/release-8-4-19.html
プラグインの詳細
深刻度: Medium
ID: 72699
ファイル名: sl_20140225_postgresql84_and_postgresql_on_SL5_x.nasl
バージョン: 1.15
タイプ: local
エージェント: unix
公開日: 2014/2/26
更新日: 2021/1/14
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.5
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
脆弱性情報
CPE: p-cpe:/a:fermilab:scientific_linux:postgresql, p-cpe:/a:fermilab:scientific_linux:postgresql-contrib, p-cpe:/a:fermilab:scientific_linux:postgresql-debuginfo, p-cpe:/a:fermilab:scientific_linux:postgresql-devel, p-cpe:/a:fermilab:scientific_linux:postgresql-docs, p-cpe:/a:fermilab:scientific_linux:postgresql-libs, p-cpe:/a:fermilab:scientific_linux:postgresql-plperl, p-cpe:/a:fermilab:scientific_linux:postgresql-plpython, p-cpe:/a:fermilab:scientific_linux:postgresql-pltcl, p-cpe:/a:fermilab:scientific_linux:postgresql-server, p-cpe:/a:fermilab:scientific_linux:postgresql-test, p-cpe:/a:fermilab:scientific_linux:postgresql84, p-cpe:/a:fermilab:scientific_linux:postgresql84-contrib, p-cpe:/a:fermilab:scientific_linux:postgresql84-debuginfo, p-cpe:/a:fermilab:scientific_linux:postgresql84-devel, p-cpe:/a:fermilab:scientific_linux:postgresql84-docs, p-cpe:/a:fermilab:scientific_linux:postgresql84-libs, p-cpe:/a:fermilab:scientific_linux:postgresql84-plperl, p-cpe:/a:fermilab:scientific_linux:postgresql84-plpython, p-cpe:/a:fermilab:scientific_linux:postgresql84-pltcl, p-cpe:/a:fermilab:scientific_linux:postgresql84-python, p-cpe:/a:fermilab:scientific_linux:postgresql84-server, p-cpe:/a:fermilab:scientific_linux:postgresql84-tcl, p-cpe:/a:fermilab:scientific_linux:postgresql84-test, x-cpe:/o:fermilab:scientific_linux
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list
パッチ公開日: 2014/2/25
脆弱性公開日: 2014/3/31
参照情報
CVE: CVE-2014-0060, CVE-2014-0061, CVE-2014-0062, CVE-2014-0063, CVE-2014-0064, CVE-2014-0065, CVE-2014-0066