在 PostgreSQL 使用枚举类型执行某些错误处理的方式中发现数组索引错误，从而导致基于堆的越界缓冲区读取缺陷。非特权数据库用户可发布特别构建的 SQL 查询，当 PostgreSQL 服务的服务器组件处理该查询时，会导致拒绝服务（后台程序崩溃）或泄露服务器内存的某些部分。(CVE-2013-0255)

在 PostgreSQL 的 pgcrypto contrib 模块（重新）初始化其内部随机数发生器的方式中发现一个缺陷。这可导致某些 pgcrypto 函数利用较少熵位的随机数，从而可能允许攻击者执行其他攻击。(CVE-2013-1900)

更新后的程序包升级到 PostgreSQL 8.4.18 版，修复了这些问题以及多个非安全问题。有关完整变更列表，请参阅《PostgreSQL 发行说明》：

http://www.postgresql.org/docs/8.4/static/release-8-4-18.html

安装此更新后，建议使用满足以下一个或多个条件的 REINDEX 命令，即通用搜索树 (GiST) 索引进行重建：

- 框、多边形、圆或点列中的 GiST 索引

- 可变宽度数据类型（即文本、bytea、位和数值）的 GiST 索引

- GiST 多列索引

如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

检测

Scientific Linux 安全更新：SL5.x、SL6.x i386/x86_64 中的 postgresql 和 postgresql84

high Nessus 插件 ID 70705

未找到变更日志