Debian DSA-3269-1：postgresql-9.1 - セキュリティ更新

critical Nessus プラグイン ID 83786

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

SQL データベースシステムである PostgreSQL-9.1 で、いくつかの脆弱性が見つかっています。

- CVE-2015-3165 （リモートクラッシュ）認証タイムアウトが切れる直前に接続を遮断する SSL クライアントが、サーバーをクラッシュさせる恐れがあります。

- CVE-2015-3166（情報漏洩） snprintf() の置換実装は、下層システムライブラリの呼び出しによってレポートされるエラーのチェックに失敗していました。見逃された可能性のある主なエラーは、メモリ不足の状態です。最悪の場合、この不具合は情報漏洩を引き起こします。

- CVE-2015-3167（サイドチャネル鍵の漏洩の可能性） contrtib/pgcrypto では、不適切な鍵で復号化を行うと、場合によっては、他のエラーメッセージテキストをレポートすることがあります。
画一的なメッセージを使用して修正します。

ソリューション

postgresql-9.1 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 9.1.16-0+deb7u1.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 9.1.16-0+deb8u1 で修正されています。（Jessie には、省略版の postgresql-9.1 パッケージが含まれており、CVE-2015-3166 だけが、作成されたバイナリパッケージの postgresql-plperl-9.1 内で修正されています。修正の全一式を入手するために、postgresql-9.4 へアップグレードすることをお勧めします。詳細については Jessie リリースノートを参照してください。）