Debian DSA-3269-1：postgresql-9.1 - 安全性更新

critical Nessus Plugin ID 83786

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 SQL 資料庫系統 PostgreSQL-9.1 中發現多個弱點。

- CVE-2015-3165 (遠端當機) SSL 用戶端若剛好在驗證逾時過期前中斷連線，可能會導致伺服器當機。

- CVE-2015-3166 (資訊洩漏) snprintf() 的取代實作無法檢查基礎系統程式庫呼叫報告的錯誤；可能遺漏的主要情形為記憶體不足。在最糟糕的情況下，這可能會導致資訊洩漏。

- CVE-2015-3167 (潛在側通道金鑰洩漏) 在 contrib/pgcrypto 中，某些情況下若以錯誤金鑰解密，可能會報告其他錯誤訊息文字。
已藉由使用萬用訊息來修正。

解決方案

升級 postgresql-9.1 套件。

針對舊的穩定發行版本 (wheezy)，這些問題已在 9.1.16-0+deb7u1 版本中修正。

針對穩定的發行版本 (jessie)，這些問題已在 9.1.16-0+deb8u1 版本中修正。(Jessie 包含降級的 postgresql-9.1 套件；只會在產生的二進位套件 postgresql-plperl-9.1 中修正 CVE-2015-3166。我們建議升級至 postgresql-9.4 以取得一組完整的修正。如需詳細資訊，請參閱 Jessie 版本資訊。)