在 PostgreSQL（一种关系数据库服务器系统）中发现多个漏洞。8.4 分支是寿命终止的上游，但仍存在于 Debian squeeze 中。新的 LTS 次要版本包含的补丁将上游应用到 9.0.19 版本，向后移植到由 PostgreSQL 开发人员正式发布的最新版本 8.4.22。针对 squeeze-lts 的 LTS 成果是由 credativ GmbH 赞助的社区项目。

CVE-2014-8161：信息泄漏。如果用户对表具有有限许可，则可能通过服务器错误消息在不具备 SELECT 权限的情况下访问列中的信息。

CVE-2015-0241：越界读取/写入。函数 to_char() 可超过缓冲区的末尾进行读取/写入。处理格式化模板时，这可能导致服务器崩溃。

CVE-2015-0243：contrib/pgcrypto 中的缓冲区溢出。pgcrypto 模块容易受到可能使服务器崩溃的堆栈缓冲区溢出的影响。

CVE-2015-0244：SQL 命令注入。据 Emil Lenngren 报告，当客户端与服务器之间的同步丢失时，攻击者可注入 SQL 命令。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Debian DLA-152-1：postgresql-8.4 更新

critical Nessus 插件 ID 82135

未找到变更日志