Tcl の正規表現処理エンジンで、 2 つのサービス拒否の欠陥が見つかりました。Tcl または Tcl を使用するアプリケーションが、特別に細工された正規表現を処理すると、過剰な CPU およびメモリの消費を引き起こすことがありました。（CVE-2007-4772、 CVE-2007-6067）

この更新では以下のバグも修正されます。

- 現在の Tcl 言語インタープリターのバージョンでスレッドが次善に実装されるため、Tcl スクリプトのフォークとともにスレッドを使用しようとすると、スクリプトの応答が停止する可能性があります。当面は、スレッド全体について、ソースコードを書き変えたり、サポートをドロップしたりすることはできません。この結果、この更新では、このサポートがある標準バージョンに加えて、スレッドのサポートがないバージョンの Tcl を提供しています。現在は、Tcl スクリプトでフォークを使用する必要はあるが、スレッドは必要ではないユーザーが、代替コマンドを使用してスレッドのサポートがないバージョンに切り替えることができます。

Red Hat セキュリティアドバイザリ 2008:0038 から：

いくつかのセキュリティの問題を修正する更新済みの postgresql パッケージが、Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

PostgreSQL は、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。postgresql パッケージには、PostgreSQL DBMS サーバーへのアクセスに必要なクライアントプログラムおよびライブラリが含まれています。

Will Drewry が、PostgreSQL の正規表現エンジンに複数の欠陥を見つけました。認証された攻撃者が、この欠陥を悪用して、特別に細工された正規表現が含まれるクエリの処理中に PostgreSQL サーバーをクラッシュさせる、無限ループになるようにする、または過度の CPU およびメモリリソースを使用することで、サービス拒否を発生させる可能性があります。信頼されていないソースからの正規表現を受け入れるアプリケーションでは、不正な攻撃者に対してこの問題が顕在化する可能性があります。
（CVE-2007-4769、 CVE-2007-4772、CVE-2007-6067）

PostgreSQL に権限昇格の欠陥が発見されました。認証された攻撃者が、データベースのバキュームなどのデータベースメンテナンスタスク中に管理者の権限で実行される index 関数を作成する可能性があります。(CVE-2007-6600)

PostgreSQL のデータベースリンクライブラリ（dblink）に権限昇格の欠陥が見つかりました。認証された攻撃者が dblink を悪用して、「trust」または「ident」認証が構成されているシステム上で権限を昇格させる可能性があります。dblink 機能はデフォルトでは有効になりません。データベース管理者のみが、postgresql-contrib パッケージがインストールされたシステム上で有効にすることができます。（CVE-2007-3278、 CVE-2007-6601）

postgresql の全ユーザーは、PostgreSQL 7.4.19 および 8.1.11 が含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。

2 つのセキュリティの問題と 1 つのバグを修正する更新済みの tcl パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Tcl（ツールコマンド言語）は、多様なアプリケーション、プロトコル、デバイス、フレームワークを結合する統合アプリケーションを作成するための強力なプラットフォームを提供します。Tk ツールキットとペアの場合、 Tcl は、クロスプラットフォームの GUI アプリケーションを作成するための高速で強力な方法を提供します。

Tcl の正規表現処理エンジンで、 2 つのサービス拒否の欠陥が見つかりました。Tcl または Tcl を使用するアプリケーションが、特別に細工された正規表現を処理すると、過剰な CPU およびメモリの消費を引き起こすことがありました。（CVE-2007-4772、 CVE-2007-6067）

この更新では以下のバグも修正されます。

* 現在の Tcl 言語インタープリターのバージョンでスレッドが次善に実装されるため、 Tcl スクリプトのフォークとともにスレッドを使用しようとすると、スクリプトの応答が停止する可能性があります。当面は、スレッド全体について、ソースコードを書き変えたり、サポートをドロップしたりすることはできません。この結果、この更新では、このサポートがある標準バージョンに加えて、スレッドのサポートがないバージョンの Tcl を提供しています。現在は、Tcl スクリプトでフォークを使用する必要はあるが、スレッドは必要ではないユーザーが、代替コマンドを使用してスレッドのサポートがないバージョンに切り替えることができます。（BZ#478961）

Tcl の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Red Hat セキュリティアドバイザリ 2013:0122 から：

2 つのセキュリティの問題と 1 つのバグを修正する更新済みの tcl パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Tcl（ツールコマンド言語）は、多様なアプリケーション、プロトコル、デバイス、フレームワークを結合する統合アプリケーションを作成するための強力なプラットフォームを提供します。Tk ツールキットとペアの場合、 Tcl は、クロスプラットフォームの GUI アプリケーションを作成するための高速で強力な方法を提供します。

Tcl の正規表現処理エンジンで、 2 つのサービス拒否の欠陥が見つかりました。Tcl または Tcl を使用するアプリケーションが、特別に細工された正規表現を処理すると、過剰な CPU およびメモリの消費を引き起こすことがありました。（CVE-2007-4772、 CVE-2007-6067）

この更新では以下のバグも修正されます。

* 現在の Tcl 言語インタープリターのバージョンでスレッドが次善に実装されるため、 Tcl スクリプトのフォークとともにスレッドを使用しようとすると、スクリプトの応答が停止する可能性があります。当面は、スレッド全体について、ソースコードを書き変えたり、サポートをドロップしたりすることはできません。この結果、この更新では、このサポートがある標準バージョンに加えて、スレッドのサポートがないバージョンの Tcl を提供しています。現在は、Tcl スクリプトでフォークを使用する必要はあるが、スレッドは必要ではないユーザーが、代替コマンドを使用してスレッドのサポートがないバージョンに切り替えることができます。（BZ#478961）

Tcl の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Will Drewry が、PostgreSQL の正規表現エンジンに複数の欠陥を見つけました。認証された攻撃者が、この欠陥を悪用して、特別に細工された正規表現が含まれるクエリの処理中に PostgreSQL サーバーをクラッシュさせる、無限ループになるようにする、または過度の CPU およびメモリリソースを使用することで、サービス拒否を発生させる可能性があります。信頼されていないソースからの正規表現を受け入れるアプリケーションでは、不正な攻撃者に対してこの問題が顕在化する可能性があります。
（CVE-2007-4769、 CVE-2007-4772、CVE-2007-6067）

PostgreSQL に権限昇格の欠陥が発見されました。認証された攻撃者が、データベースのバキュームなどのデータベースメンテナンスタスク中に管理者の権限で実行される index 関数を作成する可能性があります。（CVE-2007-6600）

PostgreSQL のデータベースリンクライブラリ（dblink）に権限昇格の欠陥が見つかりました。認証された攻撃者が dblink を悪用して、「trust」または「ident」認証が構成されているシステム上で権限を昇格させる可能性があります。dblink 機能はデフォルトでは有効になりません。データベース管理者のみが、postgresql-contrib パッケージがインストールされたシステム上で有効にすることができます。（CVE-2007-3278、CVE-2007-6601）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63605	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の tcl	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
67638	Oracle Linux 4/5：postgresql（ELSA-2008-0038）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
63405	RHEL 5：tcl（RHSA-2013:0122）	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
68693	Oracle Linux 5：tcl（ELSA-2013-0122）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63567	CentOS 5：tcl（CESA-2013：0122）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
60343	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の postgresql	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high

検出

プラグインの検索

medium

high

medium

medium

medium

high