PostgreSQL サーバーが CASE/WHEN コマンドを含む特定の SQL ステートメントを処理する方法で、欠陥が見つかりました。認証されたリモートの攻撃者が特別に細工されたSQLステートメントを使用して、PostgreSQLをクラッシュまたはサーバーメモリから数バイトを漏洩させたり、任意のコードを実行したりする可能性があります。 (CVE-2016-5423)

PostgreSQL Clientプログラムが、改行、復帰、二重引用符、またはバックスラッシュを含むデータベース名およびロール名を処理する方法に欠陥が見つかりました。このようなオブジェクト名を細工することで、次回スーパーユーザーが脆弱なClientプログラムで保守作業を実行したとき、CREATEDBまたはCREATEROLEオプション付きのロールの権限がスーパーユーザーに昇格する可能性があります。 (CVE-2016-5424)

検出

Amazon Linux AMI：postgresql92 / postgresql93,postgresql94 (ALAS-2016-747)

high Nessus プラグイン ID 93539

変更ログが見つかりません