FreeBSD：PostgreSQL -- 匿名远程访问数据损坏漏洞 (3f332f16-9b6b-11e2-8fe9-08002798f6ff)

high Nessus 插件 ID 65841

语言：

简介

远程 FreeBSD 主机缺少一个或多个与安全有关的更新。

描述

PostgreSQL 项目报告：

PostgreSQL Global Development Group 已发布用于 PostgreSQL 数据库系统的所有当前版本的安全更新，包括版本 9.2.4、9.1.9、9.0.13 和 8.4.17。此更新修复了版本 9.0 和更高版本中一个高度暴露的安全漏洞。强烈督促所有受影响版本的用户*立即*应用此更新。

此版本中修复了一个主要安全问题（仅针对版本 9.x），[CVE-2013-1899](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1899)，可以利用此问题构建包含以“-”开头的数据库名称的连接请求，该请求可破坏或销毁服务器的数据目录内的文件。能够访问 PostgreSQL 服务器所监听端口的任何人都可发起此请求。
此问题由 NTT Open Source Software Center 的 Mitsumasa Kondo 和 Kyotaro Horiguchi 发现。

此版本中还包含两个较小的安全补丁：[CVE-2013-1900](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1900)，此问题表现为 contrib/pgcrypto 函数生成的随机数容易被其他数据库用户猜测（所有版本），以及 [CVE-2013-1901](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1901)，此问题错误地允许非特权用户运行可干预正在进行的备份的命令（仅针对版本 9.x）。