Debian DLA-1464-1:postgresql-9.4 安全更新

high Nessus 插件 ID 111762

简介

远程 Debian 主机缺少安全更新。

描述

dblink 或 postgres_fdw 的非特权用户可能会绕过原本用于防止使用服务器端凭据的检查措施,例如服务器运行的操作系统用户所有的 ~/.pgpass 文件。允许对本地连接进行对等身份验证的服务器尤其容易受到攻击。还可能受到其他形式的攻击,例如将 SQL 注入 postgres_fdw 会话。通过此方式攻击 postgres_fdw 要求有能力使用选定的连接参数创建外部服务器对象,但拥有 dblink 访问权限的任意用户都有可能利用此问题。一般来说,有能力为使用 libpq 的应用程序选择连接参数的攻击者就可能会造成破坏,但很难想到其他可行的攻击场景。感谢 Andrew Krasichkov 报告此问题。对于 Debian 8“Jessie”,此问题已在 9.4.19-0~deb8u1 版本中修复。建议您升级 postgresql-9.4 程序包。注意:Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下,尽可能进行自动整理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2018/08/msg00012.html

https://packages.debian.org/source/jessie/postgresql-9.4

插件详情

严重性: High

ID: 111762

文件名: debian_DLA-1464.nasl

版本: 1.4

类型: local

代理: unix

发布时间: 2018/8/16

最近更新时间: 2021/1/11

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6

矢量: CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P

CVSS v3

风险因素: High

基本分数: 7.5

矢量: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:libecpg-compat3, p-cpe:/a:debian:debian_linux:libecpg-dev, p-cpe:/a:debian:debian_linux:libecpg6, p-cpe:/a:debian:debian_linux:libpgtypes3, p-cpe:/a:debian:debian_linux:libpq-dev, p-cpe:/a:debian:debian_linux:libpq5, p-cpe:/a:debian:debian_linux:postgresql-9.4, p-cpe:/a:debian:debian_linux:postgresql-9.4-dbg, p-cpe:/a:debian:debian_linux:postgresql-client-9.4, p-cpe:/a:debian:debian_linux:postgresql-contrib-9.4, p-cpe:/a:debian:debian_linux:postgresql-doc-9.4, p-cpe:/a:debian:debian_linux:postgresql-plperl-9.4, p-cpe:/a:debian:debian_linux:postgresql-plpython-9.4, p-cpe:/a:debian:debian_linux:postgresql-plpython3-9.4, p-cpe:/a:debian:debian_linux:postgresql-pltcl-9.4, p-cpe:/a:debian:debian_linux:postgresql-server-dev-9.4, cpe:/o:debian:debian_linux:8.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

补丁发布日期: 2018/8/15

参考资料信息

CVE: CVE-2018-10915