因此，會受到 ALAS2023-2023-387 公告中所提及的多個弱點影響。

  - 在 PostgreSQL 中，修改後未經驗證的伺服器可在建立 Kerberos 傳輸加密期間傳送未結束的字串。在某些情況下，伺服器可造成 libpq 用戶端過度讀取，並報告包含未初始化位元組的錯誤訊息。(CVE-2022-41862)

  - 行安全性原則會在內嵌後忽略使用者 ID 變更；PostgreSQL 可允許在某些情況下套用不正確的原則：使用特定於角色的原則，並在一個角色下規劃給定的查詢，然後在其他角色下執行。此情況可能發生在安全性定義程式函式之下，或是在最初規劃了一般使用者和查詢，然後在多個 SET ROLE 之間重複使用時發生。套用不正確的原則可能會允許使用者完成原本禁止的讀取和修改作業。此問題只會影響已使用「CREATE POLICY」定義列安全性原則的資料庫。(CVE-2023-2455)

  - 在使用「MERGE」命令的 PostgreSQL 中發現了一個弱點，其無法針對為「UPDATE」和「SELECT」定義的列安全性原則測試新列。如果 UPDATE 和 SELECT 原則禁止了「INSERT」原則未禁止的某些列，使用者可儲存這種列。(CVE-2023-39418)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023：postgresql15、postgresql15-contrib、postgresql15-llvmjit (ALAS2023-2023-387)

medium Nessus Plugin ID 183804

版本 1.0