Mandriva Linux 安全公告：postgresql (MDVSA-2012:139)
medium Nessus 插件 ID 61984
语言：
简介
远程 Mandriva Linux 主机缺少一个或多个安全更新。描述
已在 postgresql 中发现并修正了多种漏洞：防止通过 contrib/xml2 的 xslt_process() 访问外部文件/URL (Peter Eisentraut)。libxslt 可用于通过样式表命令读取和写入文件及 URL，从而允许非特权数据库用户以数据库服务器的权限读取和写入数据。通过正确使用 libxslt 的安全选项禁用此功能 (CVE-2012-3488)。还删除了 xslt_process() 从外部文件/URL 获取文档和样式表的能力。尽管这是有记载的功能，但长期以来被视为糟糕的想法。针对 CVE-2012-3489 的补丁破坏了该功能，我们只是要简单地将其删除，而不是耗费精力进行修复。
阻止通过 XML 实体引用访问外部文件/URL（Noah Misch、Tom Lane）。xml_parse() 将尝试按需要提取外部文件或 URL 以解决 XML 值中的 DTD 和实体引用，从而允许非特权数据库用户尝试以数据库服务器的权限提取数据。尽管外部数据不会直接返回给用户，但如果这些数据未解析为有效 XML，部分数据仍可能暴露在错误消息中；在任何情况下，仅能够检查文件是否存在都可能对攻击者有用 (CVE-2012-3489)。
此公告提供 PostgreSQL 的最新版本，不易受到这些问题的影响。
解决方案
更新受影响的程序包。另见
http://www.postgresql.org/about/news/1407/
插件详情
严重性: Medium
ID: 61984
文件名: mandriva_MDVSA-2012-139.nasl
版本: 1.17
类型: local
发布时间: 2012/9/6
最近更新时间: 2021/1/6
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: Medium
基本分数: 4.9
时间分数: 4.3
矢量: CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:N
漏洞信息
CPE: p-cpe:/a:mandriva:linux:lib64ecpg9.0_6, p-cpe:/a:mandriva:linux:lib64pq9.0_5, p-cpe:/a:mandriva:linux:libecpg9.0_6, p-cpe:/a:mandriva:linux:libpq9.0_5, p-cpe:/a:mandriva:linux:postgresql9.0, p-cpe:/a:mandriva:linux:postgresql9.0-contrib, p-cpe:/a:mandriva:linux:postgresql9.0-devel, p-cpe:/a:mandriva:linux:postgresql9.0-docs, p-cpe:/a:mandriva:linux:postgresql9.0-pl, p-cpe:/a:mandriva:linux:postgresql9.0-plperl, p-cpe:/a:mandriva:linux:postgresql9.0-plpgsql, p-cpe:/a:mandriva:linux:postgresql9.0-plpython, p-cpe:/a:mandriva:linux:postgresql9.0-pltcl, p-cpe:/a:mandriva:linux:postgresql9.0-server, cpe:/o:mandriva:linux:2011
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2012/8/19
参考资料信息
CVE: CVE-2012-3488, CVE-2012-3489
MDVSA: 2012:139