dblink 或 postgres_fdw 的非特权用户可能会绕过原本用于防止使用服务器端凭据的检查措施，例如服务器运行的操作系统用户所有的 ~/.pgpass 文件。允许对本地连接进行对等身份验证的服务器尤其容易受到攻击。还可能受到其他形式的攻击，例如将 SQL 注入 postgres_fdw 会话。通过此方式攻击 postgres_fdw 要求有能力使用选定的连接参数创建外部服务器对象，但拥有 dblink 访问权限的任意用户都有可能利用此问题。一般来说，有能力为使用 libpq 的应用程序选择连接参数的攻击者就可能会造成破坏，但很难想到其他可行的攻击场景。感谢 Andrew Krasichkov 报告此问题。对于 Debian 8“Jessie”，此问题已在 9.4.19-0~deb8u1 版本中修复。建议您升级 postgresql-9.4 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1464-1：postgresql-9.4 安全更新

high Nessus 插件 ID 111762

未找到变更日志