postgresql10用のこの更新プログラムでは、以下の問題が修正されています：

  - バージョン10.15にアップグレードします：

  - CVE-2020-25695、bsc#1178666：DECLARE CURSORをブロックします...
    インデックス式および具体化されたビューのクエリ内で延期されたトリガーの保留および起動。

  - CVE-2020-25694、bsc#1178667：a) pg_dump、pg_restore、clusterdb、reindexdb、およびvacuumdbの複雑な接続文字列パラメーターの使用を修正します。b) psqlの\connectコマンドが接続パラメーターを再使用する場合、以前の接続文字列のオーバーライドされないすべてのパラメーターが必ず再使用されるようにします。

  - CVE-2020-25696、bsc#1178668：psqlの\gsetコマンドが、特別に処理された変数を変更しないようにします。

  - 最近追加されたtimetzテストケースを修正し、米国が夏時間に従わないときに機能するようにします。

  -https://www.postgresql.org/about/news/2111/

  -https://www.postgresql.org/docs/10/release-10-15.html

この更新はSUSEからインポートされました：SLE-15-SP1: 更新プロジェクトを更新します。

postgresql10用のこの更新は次の問題を修正します：

バージョン10.15へのアップグレード：

  - CVE-2020-25695、bsc#1178666：DECLARE CURSORをブロックします...
    インデックス式および具体化されたビューのクエリ内で延期されたトリガーの保留および起動。

  - CVE-2020-25694、bsc#1178667：a) pg_dump、pg_restore、clusterdb、reindexdb、およびvacuumdbの複雑な接続文字列パラメーターの使用を修正します。b) psqlの\connectコマンドが接続パラメーターを再使用する場合、以前の接続文字列のオーバーライドされないすべてのパラメーターが必ず再使用されるようにします。

  - CVE-2020-25696、bsc#1178668：psqlの\gsetコマンドが、特別に処理された変数を変更しないようにします。

  - 最近追加されたtimetzテストケースを修正し、米国が夏時間に従わないときに機能するようにします。

  -https://www.postgresql.org/about/news/2111/

  -https://www.postgresql.org/docs/10/release-10-15.html

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのOracle Linux 8ホストに、ELSA-2020-55671アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 13.1、12.5、11.10、10.15、9.6.20、9.5.24以前のPostgreSQLバージョンで欠陥が見つかりました。追加のデータベース接続を作成するクライアントアプリケーションが、基本的な接続パラメーターのみを再利用し、セキュリティ関連のパラメーターをドロップすると、中間者攻撃の可能性、またはクリアテキスト送信を監視する機能が存在する可能性があります。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。
    （CVE-2020-25694）

  - 13.1、12.5、11.10、10.15、9.6.20、9.5.24より前のPostgreSQLバージョンのpsqlインタラクティブターミナルに欠陥が見つかりました。対話型のpsqlセッションが、侵害されたサーバーにクエリを送信する際に\gsetを使用するとき、攻撃者はpsqlを実行するオペレーティングシステムアカウントとして任意のコードを実行できます。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。（CVE-2020-25696）

  - 13.1、12.5、11.10、10.15、9.6.20、9.5.24以前のPostgreSQLバージョンで欠陥が見つかりました。少なくとも1つのスキーマで非一時オブジェクトを作成する権限を持つ攻撃者が、スーパーユーザーのIDで任意のSQL関数を実行する可能性があります。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。（CVE-2020-25695）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021: 0161アドバイザリ。

  - postgresql：再接続により、接続セキュリティ設定がダウングレードする可能性があります（CVE-2020-25694）

  - postgresql：複数の機能が、セキュリティが制限された操作のサンドボックスを回避します（CVE-2020-25695）

  - postgresql：psqlのgsetを使用すると、特別に処理された変数の上書きが可能になります（CVE-2020-25696）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

postgresql、postgresql13用のこの更新は次の問題を修正します：

この更新では、postgresql13が導入されています。

バージョン13.1へのアップグレード：

CVE-2020-25695, bsc#1178666：DECLARE CURSORをブロックします... インデックス式および具体化されたビューのクエリ内で延期されたトリガーの保留および起動。

CVE-2020-25694, bsc#1178667：a) pg_dump、pg_restore、clusterdb、reindexdb、およびvacuumdbの複雑な接続文字列パラメーターの使用を修正します。
b) psqlの\connectコマンドが接続パラメーターを再使用する場合、以前の接続文字列のオーバーライドされないすべてのパラメーターが必ず再使用されるようにします。

CVE-2020-25696, bsc#1178668：psqlの\gsetコマンドが、特別に処理された変数を変更しないようにします。

最近追加されたtimetzテストケースを修正し、米国が夏時間に従わないときに機能するようにします。（postgresql-timetz.patchの廃止）

https://www.postgresql.org/about/news/2111/

https://www.postgresql.org/docs/13/release-13-1.html

PostgreSQL 13の初期パッケージング：

https://www.postgresql.org/about/news/2077/

https://www.postgresql.org/docs/13/release-13.html

bsc#1178961：pg_configとecpgへのシンボリックリンクの%ghost。

postgresqlラッパーパッケージの変更：

メジャーバージョンを13に更新します。

また、PostgreSQL 9.4.26をSLE12-SP2以降の新しいパッケージレイアウトに転送します。postgresql94との競合にこれを反映します。

また、9より前のPostgreSQLバージョンとも競合します。

古いバージョンとの競合はSLEに限定されません。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

postgresql12用のこの更新プログラムでは、以下の問題が修正されています：

  - バージョン12.5にアップグレードします：

  - CVE-2020-25695、bsc#1178666：DECLARE CURSORをブロックします...
    インデックス式および具体化されたビューのクエリ内で延期されたトリガーの保留および起動。

  - CVE-2020-25694、bsc#1178667：a) pg_dump、pg_restore、clusterdb、reindexdb、およびvacuumdbの複雑な接続文字列パラメーターの使用を修正します。b) psqlの\connectコマンドが接続パラメーターを再使用する場合、以前の接続文字列のオーバーライドされないすべてのパラメーターが必ず再使用されるようにします。

  - CVE-2020-25696、bsc#1178668：psqlの\gsetコマンドが、特別に処理された変数を変更しないようにします。

  - 最近追加されたtimetzテストケースを修正し、米国が夏時間に従わないときに機能するようにします。

  -https://www.postgresql.org/about/news/2111/

  -https://www.postgresql.org/docs/12/release-12-5.html

この更新はSUSEからインポートされました：SLE-15-SP1: 更新プロジェクトを更新します。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 5567アドバイザリに記載されている脆弱性の影響を受けます。

  - postgresql：再接続により、接続セキュリティ設定がダウングレードする可能性があります（CVE-2020-25694）

  - postgresql：複数の機能が、セキュリティが制限された操作のサンドボックスを回避します（CVE-2020-25695）

  - postgresql：psqlのgsetを使用すると、特別に処理された変数の上書きが可能になります（CVE-2020-25696）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

postgresql、postgresql12、postgresql13用のこの更新は次の問題を修正します：

PostgreSQL 13の初期パッケージング：

https://www.postgresql.org/about/news/2077/

https://www.postgresql.org/docs/13/release-13.html

postgresqlの変更：

postgresqlメジャーバージョンを13に更新します。

postgresql12の変更：

pg_configとecpgへのシンボリックリンクの%ghost。（bsc#1178961）

develパッケージのシンボリックリンクのダングリングを回避すするためにビルドしない場合、BuildRequire libpq5およびlibecpg6。（bsc#1179765）

テストパッケージのDST問題を修正します。

postgresql13の変更：

postgresql-icu68.patchを追加します：ICU 68のビルドを修正します

pg_configとecpgへのシンボリックリンクの%ghost。（bsc#1178961）

develパッケージのシンボリックリンクのダングリングを回避すするためにビルドしない場合、BuildRequire libpq5およびlibecpg6。（bsc#1179765）

バージョン13.1へのアップグレード：

CVE-2020-25695, bsc#1178666：DECLARE CURSORをブロックします... インデックス式および具体化されたビューのクエリ内で延期されたトリガーの保留および起動。

CVE-2020-25694, bsc#1178667：a) pg_dump、pg_restore、clusterdb、reindexdb、およびvacuumdbの複雑な接続文字列パラメーターの使用を修正します。
b) psqlの\connectコマンドが接続パラメーターを再使用する場合、以前の接続文字列のオーバーライドされないすべてのパラメーターが必ず再使用されるようにします。

CVE-2020-25696, bsc#1178668：psqlの\gsetコマンドが、特別に処理された変数を変更しないようにします。

最近追加されたtimetzテストケースを修正し、米国が夏時間に従わないときに機能するようにします。（postgresql-timetz.patchの廃止）

https://www.postgresql.org/about/news/2111/

https://www.postgresql.org/docs/13/release-13-1.html

テストパッケージのDST問題を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

postgresql12用のこの更新プログラムでは、以下の問題が修正されています：

バージョン12.5へのアップグレード：

CVE-2020-25695、bsc#1178666：DECLARE CURSORをブロックします... インデックス式および具体化されたビューのクエリ内で延期されたトリガーの保留および起動。

CVE-2020-25694、bsc#1178667：a) pg_dump、pg_restore、clusterdb、reindexdb、およびvacuumdbの複雑な接続文字列パラメーターの使用を修正します。
b) psqlの\connectコマンドが接続パラメーターを再使用する場合、以前の接続文字列のオーバーライドされないすべてのパラメーターが必ず再使用されるようにします。

CVE-2020-25696、bsc#1178668：psqlの\gsetコマンドが、特別に処理された変数を変更しないようにします。

最近追加されたtimetzテストケースを修正し、米国が夏時間に従わないときに機能するようにします。（postgresql-timetz.patchの廃止）

https://www.postgresql.org/about/news/2111/

https://www.postgresql.org/docs/12/release-12-5.html

以前のpostgresql12の更新はすでに対処済みです：

12.4への更新：

CVE-2020-14349、bsc#1175193：論理レプリケーションwalsenderにセキュアなsearch_pathを設定し、ワーカーを適用します

CVE-2020-14350、bsc#1175194：contribモジュールのインストールスクリプトの安全性を高めます。

https://www.postgresql.org/docs/12/release-12-4.html

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのOracle Linux 8ホストに、ELSA-2020-56201アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  -12.4，11.9，10.14より前のPostgreSQLのバージョンが，論理レプリケーション中にsearch_pathを適切にサニタイズしなかったということがわかりました。認証された攻撃者が、CVE-2018-1058に似た攻撃でこの欠陥を利用して、レプリケーションに使用されるユーザーのコンテキストで任意のSQLコマンドを実行する可能性があります。（CVE-2020-14349）

  -PostgreSQLのALTER ... DEPENDS ON EXTENSIONでサブコマンドが承認チェックを実行しないという欠陥が見つかりました。認証された攻撃者が特定の構成でこの欠陥を利用して、関数やトリガーなどのドロップオブジェクトを実行し、データベースの破損を引き起こす可能性があります。これは、12.2以前、11.7以前、10.12以前、および9.6.17以前のPostgreSQLバージョンに影響を与えます。（CVE-2020-1720）

  - 一部のPostgreSQL拡張が、インストールスクリプトでsearch_pathを安全に使用していないことが判明しました。
    十分な権限を持つ攻撃者がこの欠陥を利用して、そのような拡張のインストールまたは更新中に、管理者を騙して特別に細工されたスクリプトを実行させる可能性があります。これは、12.4以前、11.9以前、10.14以前、9.6.19以前、および9.5.23以前のPostgreSQLバージョンに影響を与えます。（CVE-2020-14350）

  - 13.1、12.5、11.10、10.15、9.6.20、9.5.24以前のPostgreSQLバージョンで欠陥が見つかりました。追加のデータベース接続を作成するクライアントアプリケーションが、基本的な接続パラメーターのみを再利用し、セキュリティ関連のパラメーターをドロップすると、中間者攻撃の可能性、またはクリアテキスト送信を監視する機能が存在する可能性があります。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。
    （CVE-2020-25694）

  - 13.1、12.5、11.10、10.15、9.6.20、9.5.24以前のPostgreSQLバージョンで欠陥が見つかりました。少なくとも1つのスキーマで非一時オブジェクトを作成する権限を持つ攻撃者が、スーパーユーザーのIDで任意のSQL関数を実行する可能性があります。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。（CVE-2020-25695）

  - 13.1、12.5、11.10、10.15、9.6.20、9.5.24より前のPostgreSQLバージョンのpsqlインタラクティブターミナルに欠陥が見つかりました。対話型のpsqlセッションが、侵害されたサーバーにクエリを送信する際に\gsetを使用するとき、攻撃者はpsqlを実行するオペレーティングシステムアカウントとして任意のコードを実行できます。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。（CVE-2020-25696）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021：0163アドバイザリ。

  - postgresql：論理レプリケーションでの制御されない検索パス要素（CVE-2020-14349）

  - postgresql：CREATE EXTENSIONでの制御されない検索パス要素（CVE-2020-14350）

  - postgresql：ALTER ... DEPENDS ON EXTENSIONに認証チェックがありません（CVE-2020-1720）

  - postgresql：再接続により、接続セキュリティ設定がダウングレードする可能性があります（CVE-2020-25694）

  - postgresql：複数の機能が、セキュリティが制限された操作のサンドボックスを回避します（CVE-2020-25695）

  - postgresql：psqlのgsetを使用すると、特別に処理された変数の上書きが可能になります（CVE-2020-25696）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	Name	Product	Family	Published	Updated	Severity
143320	openSUSEセキュリティ更新プログラム：postgresql10（openSUSE-2020-2028）	Nessus	SuSE Local Security Checks	11/30/2020	2/7/2024	high
143846	SUSE SLES15セキュリティ更新プログラム：postgresql10（SUSE-SU-2020:3455-1）	Nessus	SuSE Local Security Checks	12/9/2020	5/11/2022	high
144561	Oracle Linux 8：ELSA-2020-5567-1: - postgresql: 10 （ELSA-2020-55671）	Nessus	Oracle Linux Local Security Checks	12/23/2020	10/22/2024	high
145042	RHEL 8 : postgresql：10（RHSA-2021：0161)	Nessus	Red Hat Local Security Checks	1/18/2021	11/7/2024	high
145239	SUSE SLED15 / SLES15セキュリティ更新プログラム：postgresql、postgresql13（SUSE-SU-2021:0175-1）	Nessus	SuSE Local Security Checks	1/21/2021	5/11/2022	high
143290	openSUSEセキュリティ更新プログラム：postgresql12（openSUSE-2020-2029）	Nessus	SuSE Local Security Checks	11/30/2020	2/8/2024	high
144401	RHEL 8: postgresql: 10（RHSA-2020: 5567)	Nessus	Red Hat Local Security Checks	12/18/2020	11/7/2024	high
145490	SUSE SLES12セキュリティ更新プログラム：postgresql、postgresql12、postgresql13（SUSE-SU-2021:0217-1）	Nessus	SuSE Local Security Checks	1/27/2021	5/11/2022	high
143653	SUSE SLES12セキュリティ更新プログラム：postgresql12（SUSE-SU-2020:3630-1）	Nessus	SuSE Local Security Checks	12/9/2020	5/11/2022	high
144564	Oracle Linux 8：ELSA-2020-5620-1: - postgresql: 12 （ELSA-2020-56201）	Nessus	Oracle Linux Local Security Checks	12/23/2020	11/1/2024	high
145044	RHEL 8 : postgresql: 12（RHSA-2021：0163)	Nessus	Red Hat Local Security Checks	1/18/2021	11/8/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high