根据远程主机上运行的一个或多个 Juniper NSM 服务器的版本，它可能受到多种漏洞的影响，其中最严重的漏洞可允许经过认证的用户触发拒绝服务情况或执行任意代码。

来自 Red Hat 安全公告 2010:0427：

更新后的 postgresql 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 3。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。PL/Perl 和 PL/Tcl 允许用户以 Perl 和 Tcl 语言编写 PostgreSQL 函数，并且默认在受信任模式下安装。在受信任模式下，某些操作（例如操作系统级访问）会受到限制。

已在 PostgreSQL 对以 PL/Perl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Perl 过程语言，运行特别构建的 PL/Perl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Perl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Perl 脚本。
(CVE-2010-1169)

Red Hat 在此感谢 Tim Bunce 负责地报告 CVE-2010-1169 缺陷。

已在 PostgreSQL 对以 PL/Tcl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Tcl 过程语言，运行特别构建的 PL/Tcl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Tcl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Tcl 脚本。
(CVE-2010-1170)

已在 PostgreSQL 从 BIT() 和 BIT VARYING() SQL 数据类型的位字符串中找回子字符串的方式中发现一个缓冲区溢出缺陷。经认证的数据库用户在运行特别构建的 SQL 查询时，可利用此缺陷导致临时拒绝服务（postgres 后台程序崩溃），也可使用数据库服务器的权限执行任意代码。(CVE-2010-0442)

已在 PostgreSQL 用于计算加入的关系的哈希表大小的方式中发现一个整数溢出缺陷。经认证的数据库用户可以创建特别构建的 SQL 查询，会造成临时拒绝服务（postgres 后台程序崩溃），或者可能以数据库服务器的权限执行任意代码。(CVE-2010-0733)

PostgreSQL 在由数据库超级用户在数据库维护操作期间执行索引函数时不当地保护 session-local 状态。经认证的数据库用户可利用此缺陷，通过特别构建的索引函数来提升权限。(CVE-2009-4136)

建议所有 PostgreSQL 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动（“service rhdb restart”）正在运行的 PostgreSQL 实例才能使更新生效。

来自 Red Hat 安全公告 2010:0429：

更新后的 postgresql 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。PL/Perl 和 PL/Tcl 允许用户以 Perl 和 Tcl 语言编写 PostgreSQL 函数，并且默认在受信任模式下安装。在受信任模式下，某些操作（例如操作系统级访问）会受到限制。

已在 PostgreSQL 对以 PL/Perl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Perl 过程语言，运行特别构建的 PL/Perl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Perl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Perl 脚本。
(CVE-2010-1169)

Red Hat 在此感谢 Tim Bunce 负责地报告 CVE-2010-1169 缺陷。

已在 PostgreSQL 对以 PL/Tcl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Tcl 过程语言，运行特别构建的 PL/Tcl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Tcl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Tcl 脚本。
(CVE-2010-1170)

已在 PostgreSQL 从 BIT() 和 BIT VARYING() SQL 数据类型的位字符串中找回子字符串的方式中发现一个缓冲区溢出缺陷。经认证的数据库用户在运行特别构建的 SQL 查询时，可利用此缺陷导致临时拒绝服务（postgres 后台程序崩溃），也可使用数据库服务器的权限执行任意代码。(CVE-2010-0442)

已在 PostgreSQL 用于计算加入的关系的哈希表大小的方式中发现一个整数溢出缺陷。经认证的数据库用户可以创建特别构建的 SQL 查询，会造成临时拒绝服务（postgres 后台程序崩溃），或者可能以数据库服务器的权限执行任意代码。(CVE-2010-0733)

PostgreSQL 在由数据库超级用户在数据库维护操作期间执行索引函数时不当地保护 session-local 状态。经认证的数据库用户可利用此缺陷，通过特别构建的索引函数来提升权限。(CVE-2009-4136)

这些程序包将 PostgreSQL 升级到 8.1.21 版。有关变更列表，请参阅《PostgreSQL 发行说明》：

http://www.postgresql.org/docs/8.1/static/release.html

建议所有 PostgreSQL 用户升级这些更新后的程序包其中修正了这些问题。如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

远程主机上安装的 PostgreSQL 版本为低于 7.4.29 的 7.4、低于 8.0.25 的 8.0、低于 8.1.21 的 8.1、低于 8.2.17 的 8.2、低于 8.3.11 的 8.3，或低于 8.4.4 的 8.4。因此，它可能受到多种漏洞的影响：

- 如果安装并启用了 PL/Perl，Safe.pm 和 PL/Perl 中的一个漏洞可允许经认证的用户在数据库服务器上运行任意 Perl 代码。
 (CVE-2010-1169)

- 如果安装并启用了 PL/Tcl，pltcl_modules 表上的不安全权限可允许经认证的用户在数据库服务器上运行任意 Tcl 代码。(CVE-2010-1170)

- 非特权数据库用户可删除由超级用户通过 ALTER USER 对该用户的帐户应用的仅供超级用户使用的设置，从而绕过应强制实施的设置。(CVE-2010-1975)

来自 Red Hat 安全公告 2010:0430：

更新后的 postgresql84 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。PL/Perl 和 PL/Tcl 允许用户以 Perl 和 Tcl 语言编写 PostgreSQL 函数，并且默认在受信任模式下安装。在受信任模式下，某些操作（例如操作系统级访问）会受到限制。

已在 PostgreSQL 对以 PL/Perl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Perl 过程语言，运行特别构建的 PL/Perl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Perl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Perl 脚本。
(CVE-2010-1169)

Red Hat 在此感谢 Tim Bunce 负责地报告 CVE-2010-1169 缺陷。

已在 PostgreSQL 对以 PL/Tcl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Tcl 过程语言，运行特别构建的 PL/Tcl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Tcl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Tcl 脚本。
(CVE-2010-1170)

这些程序包将 PostgreSQL 升级到 8.4.4 版。有关变更列表，请参阅《PostgreSQL 发行说明》：

http://www.postgresql.org/docs/8.4/static/release.html

建议所有 PostgreSQL 用户升级这些更新后的程序包其中修正了这些问题。如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

已在 PostgreSQL 对以 PL/Perl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Perl 过程语言，运行特别构建的 PL/Perl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Perl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Perl 脚本。
(CVE-2010-1169)

已在 PostgreSQL 对以 PL/Tcl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Tcl 过程语言，运行特别构建的 PL/Tcl 脚本的经认证的数据库用户可使用此缺陷来绕过预期 PL/Tcl 信任的模式限制，从而允许其以数据库服务器的权限运行任意 Tcl 脚本。
(CVE-2010-1170)

如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

注意 1：无法在同一系统上连续安装 postgresql84 和 postgresql 程序包，除非 postgresql-libs 程序包能够与 postgresql84 同时存在。postgresql-libs 程序包中包含现有应用程序可能会链接的客户端库代码。这些库在新的服务器上将仍起作用。

注释 2：由于 8.4.x 与 8.1.x 还存在磁盘上的数据格式差异，无法仅通过替换程序包来将现有 8.1.x PostgreSQL 数据库升级到 8.4.x。而是要首先使用 pg_dumpall 命令来转储现有数据库的内容，然后关闭旧服务器并删除数据库文件（在 /var/lib/pgsql/data 下）。接着删除旧程序包并安装新程序包；启动新服务器；最后从 pg_dumpall 输出还原数据。

PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。PL/Perl 和 PL/Tcl 允许用户以 Perl 和 Tcl 语言编写 PostgreSQL 函数，并且默认在受信任模式下安装。在受信任模式下，某些操作（例如操作系统级访问）会受到限制。

已在 PostgreSQL 对以 PL/Perl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Perl 过程语言，运行特别构建的 PL/Perl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Perl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Perl 脚本。
(CVE-2010-1169)

已在 PostgreSQL 对以 PL/Tcl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Tcl 过程语言，运行特别构建的 PL/Tcl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Tcl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Tcl 脚本。
(CVE-2010-1170)

已在 PostgreSQL 从 BIT() 和 BIT VARYING() SQL 数据类型的位字符串中找回子字符串的方式中发现一个缓冲区溢出缺陷。经认证的数据库用户在运行特别构建的 SQL 查询时，可利用此缺陷导致临时拒绝服务（postgres 后台程序崩溃），也可使用数据库服务器的权限执行任意代码。(CVE-2010-0442)

已在 PostgreSQL 用于计算加入的关系的哈希表大小的方式中发现一个整数溢出缺陷。经认证的数据库用户可以创建特别构建的 SQL 查询，会造成临时拒绝服务（postgres 后台程序崩溃），或者可能以数据库服务器的权限执行任意代码。(CVE-2010-0733)

PostgreSQL 在由数据库超级用户在数据库维护操作期间执行索引函数时不当地保护 session-local 状态。经认证的数据库用户可利用此缺陷，通过特别构建的索引函数来提升权限。(CVE-2009-4136)

如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

来自 Red Hat 安全公告 2010:0428：

更新后的 postgresql 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PostgreSQL 是高级对象关系数据库管理系统 (DBMS)。PL/Perl 和 PL/Tcl 允许用户以 Perl 和 Tcl 语言编写 PostgreSQL 函数，并且默认在受信任模式下安装。在受信任模式下，某些操作（例如操作系统级访问）会受到限制。

已在 PostgreSQL 对以 PL/Perl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Perl 过程语言，运行特别构建的 PL/Perl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Perl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Perl 脚本。
(CVE-2010-1169)

Red Hat 在此感谢 Tim Bunce 负责地报告 CVE-2010-1169 缺陷。

已在 PostgreSQL 对以 PL/Tcl 编写的脚本强制进行权限检查的方式中发现一个缺陷。如果在特定数据库上注册了 PL/Tcl 过程语言，运行特别构建的 PL/Tcl 脚本的经认证的数据库用户可利用此缺陷来绕过预期的 PL/Tcl 受信任模式限制，从而允许其以数据库服务器的权限运行任意 Tcl 脚本。
(CVE-2010-1170)

已在 PostgreSQL 从 BIT() 和 BIT VARYING() SQL 数据类型的位字符串中找回子字符串的方式中发现一个缓冲区溢出缺陷。经认证的数据库用户在运行特别构建的 SQL 查询时，可利用此缺陷导致临时拒绝服务（postgres 后台程序崩溃），也可使用数据库服务器的权限执行任意代码。(CVE-2010-0442)

已在 PostgreSQL 用于计算加入的关系的哈希表大小的方式中发现一个整数溢出缺陷。经认证的数据库用户可以创建特别构建的 SQL 查询，会造成临时拒绝服务（postgres 后台程序崩溃），或者可能以数据库服务器的权限执行任意代码。(CVE-2010-0733)

PostgreSQL 在由数据库超级用户在数据库维护操作期间执行索引函数时不当地保护 session-local 状态。经认证的数据库用户可利用此缺陷，通过特别构建的索引函数来提升权限。(CVE-2009-4136)

这些程序包将 PostgreSQL 升级到 7.4.29 版。有关变更列表，请参阅《PostgreSQL 发行说明》：

http://www.postgresql.org/docs/7.4/static/release.html

建议所有 PostgreSQL 用户升级这些更新后的程序包其中修正了这些问题。如果 postgresql 服务正在运行，它将在安装此更新后自动重新启动。

远程主机受到 GLSA-201110-22 中所述漏洞的影响（PostgreSQL：多种漏洞）

已在 PostgreSQL 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

经认证的远程攻击者可将特别构建的 SQL 查询发送至已启用“intarray”模块的 PostgreSQL 服务器，这可能导致以 PostgreSQL 服务器进程的权限执行任意代码，或导致拒绝服务情况。此外，经认证的远程攻击者可执行任意 Perl 代码、通过不同矢量造成拒绝服务情况、绕过 LDAP 认证、绕过 X.509 证书验证、取得数据库权限、利用弱 blowfish 加密，且可能造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
69872	Juniper NSM 服务器 < 2012.1 多种漏洞	Nessus	Misc.	2013/9/13	2022/4/11	high
68042	Oracle Linux 3：postgresql (ELSA-2010-0427)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
68044	Oracle Linux 5：postgresql (ELSA-2010-0429)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
63349	PostgreSQL 7.4 < 7.4.29 / 8.0 < 8.0.25 / 8.1 < 8.1.21 / 8.2 < 8.2.17 / 8.3 < 8.3.11 / 8.4 < 8.4.4 多种漏洞	Nessus	Databases	2012/12/28	2023/4/4	high
68045	Oracle Linux 5：postgresql84 (ELSA-2010-0430)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
60794	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 postgresql84	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
60795	Scientific Linux 安全更新：SL3.x、SL4.x、SL5.x i386/x86_64 中的 postgresql	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
68043	Oracle Linux 4：postgresql (ELSA-2010-0428)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
56626	GLSA-201110-22：PostgreSQL：多种漏洞	Nessus	Gentoo Local Security Checks	2011/10/25	2021/1/6	high

检测

插件搜索

high

high

high

high

high

high

high

high

high