遠端 Debian 13 主機上安裝的多個套件受到 dsa-6438 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6438-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：postgresql-17 CVE ID：CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14672 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-14681 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    在 PostgreSQL 中發現了多項安全漏洞，這些漏洞可能導致執行任意程式碼、錯誤驗證、資訊洩露或特權提升。

    如果使用某些延伸模組，解決 CVE-2026-6471 的上游修正程式需要對設定進行額外變更。這會影響 Debian 中包含的 postgresql-17-wal2json、postgresql-17-squeeze、postgresql-17-pg-rewrite 和 postgresql-17-decoderbufs 擴充功能。
    引用變更日誌：

    | 將邏輯解碼輸出外掛程式限制為由新的伺服器參數「output_plugin_libraries」指定的集合 (Jacob | Champion) | 以前，複製使用者可以選取任何可載入的程式庫 | | 將邏輯解碼輸出外掛程式限制為由新的伺服器參數「output_plugin_libraries」指定的集合 (Jacob | Champion) | 以前，複製使用者可以選取任何可載入的程式庫用於邏輯解碼，允許各種惡意利用。允許在不破壞有效的設定的情況下將其鎖定 | 之前，引入允許輸出外掛程式的白名單。
    | | 根據預設，只有作為 PostgreSQL (「pgoutput」和「test_decoding」) 一部分運輸的輸出外掛程式包含在「output_plugin_libraries」中。依賴其他輸出外掛程式的安裝必須在更新伺服器後新增它們，例如 | | output_plugin_libraries =「pgoutput、test_decoding、my_trusted_decoder」

    針對穩定的發行版本 (trixie)，已在 17.11-0+deb13u1 版中修復這些問題。

    建議您升級 postgresql-17 套件。

    如需有關 postgresql-17 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/postgresql-17

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dsa-6438：libecpg-compat3 - 安全性更新

high Nessus Plugin ID 335238

版本 1.3