在 PostgreSQL 的初始化指令碼中發現權限提升缺陷。具有 postgres 使用者帳戶存取權限的遠端攻擊者可利用這些缺陷取得伺服器電腦上的 root 存取權限。(CVE-2017-12172) PostgreSQL 中的 INSERT ... ON CONFLICT DO UPDATE 命令會洩漏叫用程式缺少讀取權限的表格內容。這些惡意利用僅會影響攻擊者缺少完整讀取存取權限，但同時擁有 INSERT 和 UPDATE 權限的表格。惡意利用會繞過資料列層級的安全性原則且缺少 SELECT 權限。(CVE-2017-15099) PostgreSQL 中無效的 json_populate_recordset 或 jsonb_populate_recordset 函式呼叫可使伺服器當機，或洩漏數個位元組的伺服器記憶體。(CVE-2017-15098)

偵測

Amazon Linux AMI : postgresql95 / postgresql96 (ALAS-2017-930)

high Nessus Plugin ID 105054

找不到變更記錄