遠端主機上安裝的 PostgreSQL 版本是 11.21 之前的 11 版、12.16 之前的 12 版、13.12 之前的第 13 版、14.9 之前的 14 版或 15.4 之前的 15 版。因此，可能會受到一個弱點影響：

  - 在引用結構 (美元引用、''、或 ) 中使用 @extowner@、@extschema@ 或 @extschema: ...@ 的延伸指令碼容易遭受攻擊。沒有易受攻擊的隨附延伸模組。說明文件範例和非隨附的延伸模組中確實出現易受攻擊的使用情形。因此，攻擊的先決條件是管理員已安裝易受攻擊、受信任、非隨附延伸模組的檔案。根據該先決條件，這可讓具有資料庫層級「CREATE」權限的攻擊者以啟動程序超級使用者的身分執行任意程式碼。PostgreSQL 會在核心伺服器中封鎖此攻擊，因此不需要修改個別的延伸模組。(CVE-2023-39417)

  - 在使用「MERGE」命令的 PostgreSQL 中發現了一個弱點，其無法針對為「UPDATE」和「SELECT」定義的列安全性原則測試新列。如果 UPDATE 和 SELECT 原則禁止了「INSERT」原則未禁止的某些列，使用者可儲存這種列。(CVE-2023-39418)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

PostgreSQL 11.x < 11.21 / 12.x < 12.16 / 13.x < 13.12 / 14.x < 14.9 / 15.x < 15.4 多個弱點

high Nessus Plugin ID 179922

版本 1.0