Debian セキュリティ勧告
DSA-2534-1 postgresql-8.4 -- 複数の脆弱性
- 報告日時:
- 2012-08-25
- 影響を受けるパッケージ:
- postgresql-8.4
- 危険性:
- あり
- 参考セキュリティデータベース:
- Mitre の CVE 辞書: CVE-2012-3488, CVE-2012-3489.
- 詳細:
-
SQLデータベースの PostgreSQL に XML の処理に関係した二つの脆弱性が 見つかりました。
- CVE-2012-3488
contrib/xml2 の xslt_process() を使って外部のファイルや URL を読み書きできてしまいます。
- CVE-2012-3489
xml_parse() は、DTD と XML の値の中のエンティティ参照を解決 するために外部のファイルや URL を取得します。
この修正は問題のある機能を除去しますが，正当な方法でその機能を使うア プリケーションを壊してしまうかもしれません。
これらの脆弱性の特質により、データベースに間接的にしかアクセスでき ない攻撃者でも、脆弱性を衝く細工を施した XML データを与えることがで きます。
安定版 (stable) ディストリビューション (squeeze) では、この問題はバー ジョン 8.4.13-0squeeze1 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、この問題は postgresql-9.1 パッケージのバージョン 9.1.5-1 で修正されています。
直ぐに postgresql-8.4 パッケージをアップグレードすることを勧めます。
- CVE-2012-3488