RHEL 4 / 5 / 6：postgresql (RHSA-2011:1377)
critical Nessus Plugin ID 56533
語系：
概要
遠端 Red Hat 主機缺少 postgresql 安全性更新。說明
遠端 Redhat Enterprise Linux 4 / 5 / 6 主機上安裝的套件受到 RHSA-2011:1377 公告中提及的弱點影響。PostgreSQL 是一種進階物件關聯式資料庫管理系統 (DBMS)。
當使用 Blowfish 雜湊時，在 PostgreSQL pgcrypto 模組 crypt() 處理密碼 8 位元字元的方式中發現一個正負號問題。最多三個字元緊跟在非 ASCII 字元 (包含高位元集的字元) 之前對於雜湊結果沒有任何影響，進而縮短有效密碼長度。這點使攻擊者的暴力密碼破解猜測速度更快，因為有數個不同的密碼都已雜湊成相同值。(CVE-2011-2483)
注意：因為 CVE-2011-2483 修正的關係，在安裝了此更新後，有些使用者可能無法登入將使用 PostgreSQL crypt() 函式來透過 Blowfish 雜湊之使用者密碼儲存到後端 PostgreSQL 資料庫中的應用程式。可透過將特定密碼的雜湊前置詞變更為「$2x$」，來重新啟用不安全的處理 (允許受影響的使用者登入)。
若是 Red Hat Enterprise Linux 6，更新的 postgresql 套件會將 PostgreSQL 升級為版本 8.4.9。如需完整變更清單，請參閱 PostgreSQL 版本資訊：
http://www.postgresql.org/docs/8.4/static/release.html
若是 Red Hat Enterprise Linux 4 及 5，更新版 postgresql 套件會包含反向移植修補程式。
建議所有 PostgreSQL 使用者皆升級至這些更新版套件，以更正此問題。如果 postgresql 服務正在執行中，在安裝此更新之後，它會自動重新啟動。
Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 RHSA-2011:1377 中的指南更新 RHEL postgresql 套件。另請參閱
http://www.nessus.org/u?d98acef1
http://www.postgresql.org/docs/8.4/static/release.html
https://access.redhat.com/security/updates/classification/#moderate
Plugin 詳細資訊
嚴重性: Critical
ID: 56533
檔案名稱: redhat-RHSA-2011-1377.nasl
版本: 1.20
類型: local
代理程式: unix
已發布: 2011/10/18
已更新: 2024/11/4
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: High
分數: 7.3
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2011-2483
CVSS v3
風險因素: Critical
基本分數: 10
時間分數: 8.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:redhat:enterprise_linux:postgresql-tcl, p-cpe:/a:redhat:enterprise_linux:postgresql-contrib, p-cpe:/a:redhat:enterprise_linux:postgresql-test, cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:postgresql-jdbc, p-cpe:/a:redhat:enterprise_linux:postgresql-plpython, p-cpe:/a:redhat:enterprise_linux:postgresql-docs, p-cpe:/a:redhat:enterprise_linux:postgresql-libs, p-cpe:/a:redhat:enterprise_linux:postgresql-python, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:postgresql, p-cpe:/a:redhat:enterprise_linux:postgresql-devel, cpe:/o:redhat:enterprise_linux:4, p-cpe:/a:redhat:enterprise_linux:postgresql-pl, p-cpe:/a:redhat:enterprise_linux:postgresql-pltcl, p-cpe:/a:redhat:enterprise_linux:postgresql-server, p-cpe:/a:redhat:enterprise_linux:postgresql-plperl
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2011/10/17
弱點發布日期: 2011/8/25
參考資訊
CVE: CVE-2011-2483
BID: 49241
RHSA: 2011:1377