遠端 Debian 12 主機上安裝的多個套件受到 dla-4740 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4740-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 8 月 14 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：postgresql-15 版本：15.19-0+deb12u1 CVE ID：CVE-2025-8714 CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    在 PostgreSQL 中發現了多項安全漏洞，這些漏洞可能導致執行任意程式碼、錯誤驗證、資訊洩露或特權提升。

    如果使用某些延伸模組，解決 CVE-2026-6471 的上游修正程式需要對設定進行額外變更。這會影響 Debian 中包含的 postgresql-15-wal2json 和 postgresql-15-decoderbufs 擴充功能。引用變更日誌：

    | 將邏輯解碼輸出外掛程式限制為由新的伺服器參數「output_plugin_libraries」指定的集合 (Jacob | Champion) | 以前，複製使用者可以選取任何可載入的程式庫 | | 將邏輯解碼輸出外掛程式限制為由新的伺服器參數「output_plugin_libraries」指定的集合 (Jacob | Champion) | 以前，複製使用者可以選取任何可載入的程式庫用於邏輯解碼，允許各種惡意利用。允許在不破壞有效的設定的情況下將其鎖定 | 之前，引入允許輸出外掛程式的白名單。
    | | 根據預設，只有作為 PostgreSQL (「pgoutput」和「test_decoding」) 一部分運輸的輸出外掛程式包含在「output_plugin_libraries」中。依賴其他輸出外掛程式的安裝必須在更新伺服器後新增它們，例如 | | output_plugin_libraries =「pgoutput、test_decoding、my_trusted_decoder」

    針對 Debian 12 bookworm，已在 15.19-0+deb12u1 版本中修正這些問題。

    建議您升級 postgresql-15 套件。

    如需有關 postgresql-15 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/postgresql-15

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4740：libecpg-compat3 - 安全性更新

high Nessus Plugin ID 335430

版本 1.2