Bulletin d'alerte Debian
DLA-2751-1 postgresql-9.6 -- Mise à jour de sécurité pour LTS
- Date du rapport :
- 31 août 2021
- Paquets concernés :
- postgresql-9.6
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2021-3449.
- Plus de précisions :
-
PostgreSQL 9.6.23 corrige le problème de sécurité suivant :
Interdire davantage la renégociation SSL (Michael Paquier)
La renégociation a été désactivée depuis un certain temps, mais le serveur pourrait continuer à coopérer avec une requête de renégociation initiée par le client. Un renégociation contrefaite de manière malveillante pourrait aboutir à un plantage du serveur (consultez le problème d’OpenSSL CVE-2021-3449). Désactivation complète de cette fonctionnalité dans toutes les versions d’OpenSSL permettant de le faire, c’est-à-dire les versions 1.1.0h et suivantes.
Pour Debian 9 « Stretch », ce problème a été corrigé dans la version 9.6.23-0+deb9u1.
Nous vous recommandons de mettre à jour vos paquets postgresql-9.6.
Pour disposer d'un état détaillé sur la sécurité de postgresql-9.6, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/postgresql-9.6.
Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.