远程主机上安装的测试产品版本低于测试版本。因此，如公告 ALAS-2020-1442 所述，该主机受到多个漏洞的影响。

  - 在 11.x 到且除 11.3 外、10.x 到且除 10.8 外、9.6.x 到且除 9.6.13 外、9.5.x 到且除 9.5.17 外的 PostgreSQL 版本中发现一个漏洞。PostgreSQL 维护表的列统计数据。直方图和最常用值列表等某些统计数据包含从列中获取的值。查询计划期间，PostgreSQL 在查询这些统计数据之前未评估行安全策略；攻击者会利用此漏洞读取某些列的最常用值。受影响的列是指攻击者对其具有 SELECT 权限，且在普通查询中，行级别安全性会让一组行易被攻击者可见。(CVE-2019-10130)

  - 在 9.4.24 之前的 9.4.x、9.5.19 之前的 9.5.x、9.6.15 之前的 9.6.x、10.10 之前的 10.x 和 11.5 之前的 11.x 的 postgresql 版本中发现一个缺陷，可在获得适当的 SECURITY DEFINER 函数时在其中执行任意 SQL 语句。具有函数的 EXECUTE 权限的攻击者可以函数拥有者执行任意 SQL。(CVE-2019-10208)

  - 我们发现，某些 PostgreSQL 扩展未在其安装脚本中安全使用 search_path。
    具有足够特权的攻击者会利用此缺陷，在安装或更新此类扩展的过程中，诱使管理员执行特别构建的脚本。这会影响 12.4 之前、11.9 之前、10.14 之前、9.6.19 之前和 9.5.23 之前的 PostgreSQL 版本。(CVE-2020-14350)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux AMI：postgresql95 (ALAS-2020-1442)

high Nessus 插件 ID 141944

未找到变更日志