RHEL 7:rh-postgresql12-postgresql (RHSA-2023: 4313)

high Nessus 插件 ID 178949

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2023: 4313 公告中提及的多个漏洞影响。

- schema_element 可破解保护性 search_path 变更;已发现 PostgreSQL 中的某些数据库调用可能会允许经过身份验证的攻击者以提升的数据库级权限执行任意代码。(CVE-2023-2454)

- 行安全策略会在内联后忽略用户 ID 变更;在使用了特定于角色的策略,并且在一个角色下规划但在其他角色下执行给定查询等特定情况下,PostgreSQL 可能会允许应用错误的策略。这种情况可能会发生在 security definer 函数下,或在最初规划的通用用户和查询之后在多个 SET ROLE 中重复使用时。应用不正确的策略可能会允许用户完成本应禁止的读取和修改。这仅影响已使用 CREATE POLICY 定义行安全策略的数据库。(CVE-2023-2455)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的程序包。

另见

https://access.redhat.com/security/cve/CVE-2023-2454

https://access.redhat.com/security/cve/CVE-2023-2455

https://access.redhat.com/errata/RHSA-2023:4313

插件详情

严重性: High

ID: 178949

文件名: redhat-RHSA-2023-4313.nasl

版本: 1.0

类型: local

代理: unix

发布时间: 2023/7/27

最近更新时间: 2023/7/27

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 8.3

时间分数: 6.1

矢量: CVSS2#AV:N/AC:L/Au:M/C:C/I:C/A:C

CVSS 分数来源: CVE-2023-2454

CVSS v3

风险因素: High

基本分数: 7.2

时间分数: 6.3

矢量: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-contrib, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-contrib-syspaths, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-devel, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-docs, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-libs, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-plperl, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-plpython, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-pltcl, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-server, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-server-syspaths, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-static, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-syspaths, p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-test

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

易利用性: No known exploits are available

补丁发布日期: 2023/7/27

漏洞发布日期: 2023/5/11

参考资料信息

CVE: CVE-2023-2454, CVE-2023-2455

CWE: 20

RHSA: 2023:4313