pg_user_mappings 视图可向缺少服务器权限的用户泄露密码：在 PostgreSQL 处理访问外部服务器上 pg_user_mappings 视图的方式中发现授权缺陷。未经身份验证的远程攻击者可利用此缺陷在无相关权限的情况下，从外部服务器所有者定义的用户映射中检索密码。(CVE-2017-7547) 在某些验证方法中接受空白密码：已发现尽管 libpq 拒绝发送空密码，仍然可通过空密码验证进入 PostgreSQL 数据库帐户。远程攻击者可利用此缺陷以空密码访问数据库帐户。(CVE-2017-7546) lo_put() 函数会忽略 ACL：在 PostgreSQL 处理大型对象的方式中，发现一个授权缺陷。对大型对象没有权限的经身份验证远程攻击者可能会利用此缺陷，覆盖对象的整个内容，因而导致拒绝服务。(CVE-2017-7548)

检测

Amazon Linux AMI : postgresql94 / postgresql95 (ALAS-2017-885)

critical Nessus 插件 ID 102873

未找到变更日志