リモートの Debian 10 ホストには、dsa-5006 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 中間者攻撃者が、SSL 証明書の検証と暗号化を使用していても、クライアントの最初の数個のクエリに誤った応答を注入する可能性があります。(CVE-2021-23222)

  サーバーが clientcert 要件で信頼認証を使用するように構成されている場合、または証明書認証を使用するように構成されている場合、SSL 証明書の検証と暗号化を使用しているにもかかわらず、接続が最初に確立されるときに、中間者攻撃者が任意の SQL クエリを注入する可能性があります。(CVE-2021-23214)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Debian 9 ホストには、dla-2817 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 中間者攻撃者が、SSL 証明書の検証と暗号化を使用していても、クライアントの最初の数個のクエリに誤った応答を注入する可能性があります。(CVE-2021-23222)

  サーバーが clientcert 要件で信頼認証を使用するように構成されている場合、または証明書認証を使用するように構成されている場合、SSL 証明書の検証と暗号化を使用しているにもかかわらず、接続が最初に確立されるときに、中間者攻撃者が任意の SQL クエリを注入する可能性があります。(CVE-2021-23214)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2021: 5197アドバイザリに記載されている複数の脆弱性の影響を受けます。

  -postgresql：- サーバーは、man-in-the-middlemore から暗号化されていないバイトを処理します (CVE-2021-23214)

  -postgresql：libpq は、man-in-the-middlemore から暗号化されていないバイトを処理します (CVE-2021-23222)

  -postgresql：特定のクエリにおけるメモリ漏洩 (CVE-2021-3677)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 11 ホストには、dsa-5007 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  サーバーが clientcert 要件で信頼認証を使用するように設定されている場合、または証明書認証を使用するように設定されている場合、SSL 証明書の検証と暗号化を使用しているにもかかわらず、接続が最初に確立されるときに、中間者攻撃者が任意の SQL クエリを注入する可能性があります。(CVE-2021-23214)

  - 中間者攻撃者が、SSL 証明書の検証と暗号化を使用していても、クライアントの最初の数個のクエリに誤った応答を注入する可能性があります。(CVE-2021-23222)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程主机上安装的 postgresql 版本低于 14.1-3。因此，该应用程序受到 ALAS2POSTGRESQL14-2024-008 公告中提及的漏洞的影响。

  - 尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 postgresql 版本低于 12.11-3。因此，它受到 ALAS2POSTGRESQL12-2023-002 公告中提及的多个漏洞影响。

    2024-08-28：已将 CVE-2021-3677 添加到此公告中。

    2024-02-29：已将 CVE-2021-23222 添加到此公告中。

    尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

    在 postgresql 中发现一个缺陷。可以通过经专门构建的查询读取服务器内存的任意字节。在默认配置下，任何经过身份验证的数据库用户均可随意完成此攻击。发动此攻击不需要具备创建对象的能力。如果服务器设置包括 max_worker_processes=0，则此攻击的已知版本并不可行。但是，未被发现的攻击变体可能与该设置无关。(CVE-2021-3677)

    在 PostgreSQL 中发现一个缺陷。当特权用户维护其他用户的对象时，存在安全操作未完成的问题。Autovacuum、REINDEX、CREATE INDEX、REFRESH MATERIALIZED VIEW、CLUSTER 和 pg_amcheck 命令在此过程中过晚激活或完全未激活相关保护机制。此缺陷允许有权在至少一个方案中创建非临时对象的攻击者，以超级用户的身份执行任意 SQL 函数。(CVE-2022-1552)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 postgresql 版本低于 13.7-2。因此，它受到 ALAS2POSTGRESQL13-2023-002 公告中提及的多个漏洞影响。

    2024-08-28：已将 CVE-2021-3677 添加到此公告中。

    2024-02-29：已将 CVE-2021-23222 添加到此公告中。

    尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

    在 postgresql 中发现一个缺陷。可以通过经专门构建的查询读取服务器内存的任意字节。在默认配置下，任何经过身份验证的数据库用户均可随意完成此攻击。发动此攻击不需要具备创建对象的能力。如果服务器设置包括 max_worker_processes=0，则此攻击的已知版本并不可行。但是，未被发现的攻击变体可能与该设置无关。(CVE-2021-3677)

    在 PostgreSQL 中发现一个缺陷。当特权用户维护其他用户的对象时，存在安全操作未完成的问题。Autovacuum、REINDEX、CREATE INDEX、REFRESH MATERIALIZED VIEW、CLUSTER 和 pg_amcheck 命令在此过程中过晚激活或完全未激活相关保护机制。此缺陷允许有权在至少一个方案中创建非临时对象的攻击者，以超级用户的身份执行任意 SQL 函数。(CVE-2022-1552)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2022:1891 中提及的漏洞的影响。

  - 尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的多个程序包受到 dsa-5006 公告中提及的多个漏洞影响。

  - 尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

  - 当服务器配置为使用带 clientcert 要求的信任身份验证或使用证书身份验证时，尽管已经使用 SSL 证书验证和加密，中间人攻击者也可以在首次建立连接时注入任意 SQL 查询。(CVE-2021-23214)

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

远程 Debian 9 主机上安装的多个程序包受到 dla-2817 公告中提及的多个漏洞影响。

  - 尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

  - 当服务器配置为使用带 clientcert 要求的信任身份验证或使用证书身份验证时，尽管已经使用 SSL 证书验证和加密，中间人攻击者也可以在首次建立连接时注入任意 SQL 查询。(CVE-2021-23214)

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 5197 公告中提及的一个漏洞影响。

  - postgresql：服务器处理来自中间人的未加密字节 (CVE-2021-23214)

  - postgresql：libpq 处理来自中间人的未加密字节 (CVE-2021-23222)

  - postgresql：某些查询发生内存泄露 (CVE-2021-3677)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dsa-5007 公告中提及的多个漏洞影响。

  - 当服务器配置为使用带 clientcert 要求的信任身份验证或使用证书身份验证时，尽管已经使用 SSL 证书验证和加密，中间人攻击者也可以在首次建立连接时注入任意 SQL 查询。(CVE-2021-23214)

  - 尽管使用了 SSL 证书验证和加密，但中间人攻击者仍可向客户端的前几个查询注入错误响应。(CVE-2021-23222)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
155311	Debian DSA-5006-1: postgresql-11 - セキュリティ更新	Nessus	Debian Local Security Checks	11/12/2021	1/24/2025	high
155312	Debian DLA-2817-1: postgresql-9.6-LTSセキュリティ更新	Nessus	Debian Local Security Checks	11/12/2021	1/24/2025	high
156128	RHEL 7: rh-postgresql12-postgresql (RHSA-2021：5197)	Nessus	Red Hat Local Security Checks	12/16/2021	11/7/2024	high
176381	Debian DSA-5007-1 : postgresql-13 - セキュリティ更新	Nessus	Debian Local Security Checks	5/25/2023	1/24/2025	high
191610	Amazon Linux 2：postgresql (ALASPOSTGRESQL14-2024-008)	Nessus	Amazon Linux Local Security Checks	3/6/2024	12/11/2024	medium
182052	Amazon Linux 2：postgresql (ALASPOSTGRESQL12-2023-002)	Nessus	Amazon Linux Local Security Checks	9/27/2023	12/11/2024	high
182064	Amazon Linux 2：postgresql (ALASPOSTGRESQL13-2023-002)	Nessus	Amazon Linux Local Security Checks	9/27/2023	12/11/2024	high
184775	Rocky Linux 8libpq (RLSA-2022:1891)	Nessus	Rocky Linux Local Security Checks	11/6/2023	11/6/2023	medium
155311	Debian DSA-5006-1：postgresql-11 - 安全更新	Nessus	Debian Local Security Checks	11/12/2021	1/24/2025	high
155312	Debian DLA-2817-1：postgresql-9.6 - LTS 安全更新	Nessus	Debian Local Security Checks	11/12/2021	1/24/2025	high
156128	RHEL 7：rh-postgresql12-postgresql（RHSA-2021：5197)	Nessus	Red Hat Local Security Checks	12/16/2021	11/7/2024	high
176381	Debian DSA-5007-1：postgresql-13 - 安全更新	Nessus	Debian Local Security Checks	5/25/2023	1/24/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

medium

high

high

medium

high

high

high

high