Red Hat セキュリティアドバイザリ 2015:0750 から：

複数のセキュリティの問題を解決する更新済みの postgresql パッケージが、 Red Hat Enterprise Linux 6 と 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。

情報漏洩の欠陥が、PostgreSQL データベースサーバーが特定のエラーメッセージを処理する方法で見つかりました。認証されているデータベースのユーザーが、クエリを実行したときに生成される制約違反エラーメッセージを観察することで、自分が実行する権限を持っていないクエリの結果を入手する可能性があります。(CVE-2014-8161)

バッファオーバーフローの欠陥が、PostgreSQL が特定の数値書式設定を処理する方法で見つかりました。認証済みのデータベースユーザーが特別に細工されたタイムスタンプ書式テンプレートを利用して、PostgreSQL をクラッシュさせたり、ある種の状況で、PostgreSQL を実行するユーザーの権限で任意のコードを実行するおそれがあります。(CVE-2015-0241)

PostgreSQL の pgcrypto モジュールにスタックバッファオーバーフローの欠陥が見つかりました。認証されたデータベースユーザーが、この欠陥を利用して、PostgreSQL をクラッシュさせたり、PostgreSQL を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2015-0243)

PostgreSQL がプロトコル同期化中に生成される特定のエラーを処理する方法で、欠陥が見つかりました。認証されたデータベースユーザーがこの欠陥を利用して、既存の接続にクエリを注入する可能性があります。(CVE-2015-0244)

Red Hat は、これらの問題についてレポートしてくれた PostgreSQL プロジェクトに感謝の意を表します。Upstream は、Stephen Frost 氏を CVE-2014-8161 の最初の報告者として、Andres Freund 氏、Peter Geoghegan 氏、Bernd Helmle 氏、および Noah Misch 氏を CVE-2015-0241 の最初の報告者として、Marko Tiikkaja 氏を CVE-2015-0243 の最初の報告者として、Emil Lenngren 氏を CVE-2015-0244 の最初の報告者として認めます。

PostgreSQL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。postgresql サービスが実行中の場合、この更新のインストール後に自動的に再起動されます。

検出

Oracle Linux 6/7：postgresql（ELSA-2015-0750）

critical Nessus プラグイン ID 82465

変更ログが見つかりません