現已提供分別適用於 Red Hat Enterprise Linux 5 和 6 的更新版 postgresql84 和 postgresql 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

PostgreSQL 是一種進階物件關聯式資料庫管理系統 (DBMS)。

據發現，剖析可延伸樣式表語言轉換 (XSLT) 時，選用 PostgreSQL xml2 contrib 模組允許以資料庫伺服器的權限讀取和寫入本機檔案和遠端 URL。無權限的資料庫使用者可利用此瑕疵，藉著發出特製的 SQL 查詢，讀取和寫入他們沒有存取權的本機檔案 (例如資料庫的組態檔) 與遠端 URL。(CVE-2012-3488)

據發現，「xml」資料類型允許使用資料庫伺服器的權限讀取本機檔案和遠端 URL，以解析所提供之 XML 中的 DTD 和實體參照。無權限的資料庫使用者可利用此瑕疵，透過發出特製的 SQL 查詢，讀取他們沒有存取權的本機檔案。
請注意，檔案的完整內容並不會傳回，但是部分內容可透過錯誤訊息而顯示給使用者。
(CVE-2012-3489)

Red Hat 要感謝 PostgreSQL 專案報告這些問題。上游確認 Peter Eisentraut 為 CVE-2012-3488 的原始報告者，Noah Misch 為 CVE-2012-3489 的原始報告者。

這些更新版套件會將 PostgreSQL 升級至 8.4.13 版。如需變更清單，請參閱 PostgreSQL 版本資訊：

http://www.postgresql.org/docs/8.4/static/release-8-4-13.html

建議所有 PostgreSQL 使用者皆升級至這些更新版套件，其可更正這些問題。如果 postgresql 服務正在執行中，在安裝此更新之後，它會自動重新啟動。

偵測

CentOS 5 / 6 : postgresql / postgresql84 (CESA-2012:1263)

medium Nessus Plugin ID 62083

找不到變更記錄