Debian DSA-3155-1：postgresql-9.1 - セキュリティ更新

critical Nessus プラグイン ID 81211

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

SQL データベースシステムである PostgreSQL-9.1 で、いくつかの脆弱性が見つかっています。

- CVE-2014-8161：情報漏洩。テーブルでのセキュリティ許容度が制限されているユーザーが、サーバーエラーメッセージを通じて SELECT 権限なしに列の情報にアクセスできることがあります。

- CVE-2015-0241：領域外の読み取り/書き込み。to_char() 関数がバッファの終端を越えて読み取り/書き込みをすることがあります。フォーマットテンプレートを処理する際に、これがサーバーをクラッシュさせる可能性があります。

- CVE-2015-0243：contrib/pgcrypto でのバッファオーバーラン。pgcrypto モジュールはスタックバッファオーバーランに脆弱であり、サーバーがクラッシュすることがあります。

- CVE-2015-0244：SQL コマンドインジェクション。Emil Lenngren 氏は、クライアントとサーバーの間の同期が失われると、攻撃者が SQL コマンドをインジェクトできることを報告しました。

ソリューション

postgresql-9.1 パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 9.1.15-0+deb7u1 で修正されています。

次回の安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 9.1.14-0+deb8u1 で修正されています。