PgBouncer reports :

New auth_user functionality introduced in 1.6 allows login as auth_user when client presents unknown username. It's quite likely auth_user is superuser. Affects only setups that have enabled auth_user in their config.

The version of Pgbouncer running on the remote host is affected by an authentication bypass vulnerability due to a flaw in the start_auth_request() function within file client.c when handling requests for invalid users. A remote attacker can exploit this issue to bypass authentication and log into PostgreSQL via Pgbouncer using a random user name.

The remote host is affected by the vulnerability described in GLSA-201701-24 (PgBouncer: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in PgBouncer. Please       review the CVE identifiers referenced below for details.
  Impact :

    A remote attacker might send a specially crafted package possibly       resulting in a Denial of Service condition. Furthermore, a remote       attacker might bypass authentication in configurations using the       &ldquo;auth_user&rdquo; feature.
  Workaround :

    There is no known workaround at this time.

リモートホストで実行されている Pgbouncer のバージョンが、無効ユーザーのリクエストを処理する際に、client.c ファイル内の start_auth_request() 関数の欠陥により、認証バイパスの脆弱性の影響を受けます。リモートの攻撃者が、この問題を悪用し、認証をバイパスし、ランダムユーザーを利用することで、Pgbouncer を介して PostgreSQL にログインする可能性があります。

リモートホストは、GLSA-201701-24（PgBouncer：複数の脆弱性）で説明されている脆弱性による影響を受けます。PgBouncerで、複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、特別に細工されたパッケージを送信する可能性があり、その結果、サービス拒否状況をもたらす可能性があります。さらに、リモートの攻撃者な“auth_user”機能を使用して構成の認証をバイパスする可能性があります。回避策：現時点では、既知の回避策はありません。

PgBouncer による報告：

1.6 で導入された新しい auth_user 機能性により、クライアントが未知のユーザー名を提示したとき、auth_user としてログインすることが可能です。auth_user がスーパーユーザーであることは十分に考えられます。影響を受けるのは、構成で auth_user を有効にしたセットアップのみです。

由于处理无效用户的请求时，client.c 内的 start_auth_request() 函数有一个缺陷，导致远程主机上运行的 Pgbouncer 版本受到一个认证绕过漏洞影响。远程攻击者可利用此问题，使用随机用户名的 Pgbouncer 绕过认证并登入 PostgreSQL。

远程主机受到 GLSA-201701-24 中所述漏洞的影响（PgBouncer：多个漏洞）在 PgBouncer 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可发送特别构建的程序包，可能导致拒绝服务情况。此外，远程攻击者可在使用“auth_user”功能的配置中绕过验证。解决方法：目前无任何已知的解决方法。

由於處理無效使用者的要求時，client.c 內的 start_auth_request() 函式有一個瑕疵，導致遠端主機上執行的 Pgbouncer 版本受到一個驗證繞過弱點影響。遠端攻擊者可惡意利用此問題，透過使用隨機使用者名稱的 Pgbouncer 繞過驗證並登入 PostgreSQL。

遠端主機受到 GLSA-201701-24 中所述的弱點影響 (PgBouncer：多個弱點) 在 PgBouncer 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可傳送特製的封包，進而可能導致拒絕服務情況。此外，遠端攻擊者可在使用「auth_user」功能的組態中繞過驗證。因應措施：目前尚無已知的因應措施。

PgBouncer 報告：

1.6 版引入的新 auth_user 功能，允許在用戶端顯示未知使用者名稱時以 auth_user 身分登入。auth_user 很有可能是超級使用者。只會影響已啟用 auth_user 的設定和其組態。

PgBouncer 报告：

1.6 版引入的 auth_user 新功能允许在客户端存在未知用户名时以 auth_user 的身份登录。auth_user 非常类似于超级用户。仅影响配置中启用了 auth_user 的安装。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85894	FreeBSD : pgbouncer -- failed auth_query lookup leads to connection as auth_user (d76961da-56f6-11e5-934b-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/9/10	2021/1/6	high
93006	Pgbouncer 1.6 Invalid User Authentication Bypass	Nessus	Misc.	2016/8/17	2022/4/11	high
96418	GLSA-201701-24 : PgBouncer: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2017/1/12	2021/1/11	high
93006	Pgbouncer 1.6 の無効ユーザー認証バイパス	Nessus	Misc.	2016/8/17	2022/4/11	high
96418	GLSA-201701-24：PgBouncer：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/1/12	2021/1/11	high
85894	FreeBSD：pgbouncer -- auth_query 検索の失敗が、auth_user としての接続につながります（d76961da-56f6-11e5-934b-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/9/10	2021/1/6	high
93006	Pgbouncer 1.6 无效的用户认证绕过	Nessus	Misc.	2016/8/17	2022/4/11	high
96418	GLSA-201701-24：PgBouncer：多个漏洞	Nessus	Gentoo Local Security Checks	2017/1/12	2021/1/11	high
93006	Pgbouncer 1.6 無效的使用者驗證繞過	Nessus	Misc.	2016/8/17	2022/4/11	high
96418	GLSA-201701-24：PgBouncer：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/12	2021/1/11	high
85894	FreeBSD：pgbouncer -- 失敗的 auth_query 查閱導致以 auth_user 身分連線 (d76961da-56f6-11e5-934b-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/9/10	2021/1/6	high
85894	FreeBSD：pgbouncer -- auth_query 查找失败导致以 auth_user 的身份连接 (d76961da-56f6-11e5-934b-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/9/10	2021/1/6	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high