9.2.4 之前的 9.2.x 版、9.1.9 之前的 9.1.x 版和 9.0.13 之前的 9.0.x 版 PostgreSQL 有引數插入弱點，允許遠端攻擊者造成拒絕服務 (檔案損毀)，且允許經驗證的遠端使用者透過資料庫名稱開頭為「-」(連字號) 的連線要求，修改組態設定並執行任意程式碼。

9.2.4 之前的 9.2.x 版和 9.1.9 之前的 9.1.x 版 PostgreSQL 未正確檢查 REPLICATION 權限，其允許經驗證的遠端使用者呼叫 (1) pg_start_backup 或 (2) pg_stop_backup 函式，繞過預定的備份限制。

9.2.4 之前的 9.2.x 版、9.1.9 之前的 9.1.x 版、9.0.13 之前的 9.0.x 版和 8.4.17 之前的 8.4.x 版 PostgreSQL 在使用 OpenSSL 時，會產生不足的亂數，可能允許經驗證的遠端使用者透過與「contrib/pgcrypto 函式」有關的向量，造成不明影響。

遠端 Mac OS X 10.8 主機上安裝的 OS X Server 為 2.2.2 之前的版本。因此，該應用程式受到以下弱點影響：

  - 隨附的 ClamAV 軟體中存在兩個弱點，其中最嚴重者可允許攻擊者從遠端執行任意程式碼。
    (CVE-2013-2020 / CVE-2013-2021)

  - 隨附的 PostgreSQL 軟體中存在三個弱點，其中最嚴重者可導致資料損毀或權限提升。
    (CVE-2013-1899 / CVE-2013-1900 / CVE-2013-1901)

  - 隨附的 Wiki Server 軟體中存在多個跨網站指令碼問題 (CVE-2013-1034)

這個 9.1.9 版的更新可修正：

- 修正伺服器命令行切換的不安全剖析。
 (CVE-2013-1899)

- 重設每個郵件管理員子處理程序中的 OpenSSL 隨機狀態。(CVE-2013-1900)

- 讓 REPLICATION 權限檢查測試目前的使用者而非經驗證的使用者。(CVE-2013-1901)

遠端主機上安裝的 PostgreSQL 是比 9.0.13 舊的 9.0.x 版、比 9.1.9 舊的 9.1.x 版或比 9.2.4 舊的 9.2.x 版。因此，可能受到一個檔案刪除弱點的影響。未經驗證的遠端攻擊者可要求以「-」開頭的資料庫名稱，從而損毀伺服器資料目錄內的檔案。

postgresql 已更新至 9.2.4 版 (bnc#812525)：

- CVE-2013-1899：修正伺服器命令行切換的不安全剖析。他人可製造資料庫名稱以‘-’開頭的連線要求，以毀損或破壞該伺服器資料目錄中的檔案，無論該要求最後是否遭到拒絕。

- CVE-2013-1900：重設每個郵件管理員子處理程序中的 OpenSSL 隨機狀態。這可避免‘contrib/pgcrypto’函式產生的隨機數字可能相對容易被其他資料庫使用者猜到。此風險只會在下列狀況時產生重大影響：郵件管理員的 ssl 設為開啟，但多數連線並未使用 SSL 加密。

- CVE-2013-1901：讓 REPLICATION 權限檢查測試目前的使用者，而非經過驗證的使用者。無權限的資料庫使用者可惡意利用此錯誤來呼叫 pg_start_backup() 或 pg_stop_backup()，因此可能干擾常式備份的建立。

- 如需其他變更資訊，請參閱版本資訊：
 http://www.postgresql.org/docs/9.2/static/release-9-2-4。
 html /usr/share/doc/packages/postgresql92/HISTORY

postgresql 更新到 9.2.4 版 (bnc#812525)：

- CVE-2013-1899：修复了服务器命令行开关不安全解析的问题。可构建包含以“-”开头的数据库名称的连接请求，即使该请求最终被拒绝，仍会损坏或破坏服务器数据目录中的文件。

- CVE-2013-1900：重置每个 postmaster 子进程中的 OpenSSL 随机性状态。这可避免“contrib/pgcrypto”函数生成的随机数可能较容易被其他数据库用户猜中的情况。只有当 postmaster 配置为 ssl = on 但大多数连接不使用 SSL 加密时，才容易出现此风险。

- CVE-2013-1901：对当前用户而非已通过认证的用户进行 REPLICATION 权限检查测试。非特权数据库用户可利用此错误调用 pg_start_backup() 或 pg_stop_backup()，从而可能干扰例程备份的创建。

- 有关其他更改，请参阅发行说明：
http://www.postgresql.org/docs/9.2/static/release-9-2-4。
 html /usr/share/doc/packages/postgresql92/HISTORY

远程 Mac OS X 10.8 主机上安装的 OS X Server 版本低于 2.2.2。因此，该应用程序受到以下漏洞的影响：

  - 包含的 ClamAV 软件中存在两个漏洞，其中最严重的漏洞可允许攻击者远程执行任意代码。
    (CVE-2013-2020 / CVE-2013-2021)

  - 包含的 PostgreSQL 软件中存在三个漏洞，其中最严重的漏洞可导致数据损坏或权限升级。
    (CVE-2013-1899 / CVE-2013-1900 / CVE-2013-1901)

  - 包含的 Wiki Server 软件中存在多种跨站脚本问题 (CVE-2013-1034)

低于 9.2.4 的 PostgreSQL 9.2.x、低于 9.1.9 的 PostgreSQL 9.1.x，以及低于 9.0.13 的 PostgreSQL 9.0.x 中的参数注入漏洞允许远程攻击者造成拒绝服务（文件损坏），允许经过认证的远程用户通过使用以“-”（连字符）开始的数据库名称的连接请求修改配置设置和执行任意代码。

低于 9.2.4 的 PostgreSQL 9.2.x 和低于 9.1.9 的 PostgreSQL 9.1.x 未正确检查 REPLICATION 权限，这允许经过认证的远程用户通过调用 (1) pg_start_backup 或 (2) pg_stop_backup 函数绕过预期备份限制。

使用 OpenSSL 时，低于 9.2.4 的 PostgreSQL 9.2.x、低于 9.1.9 的 PostgreSQL 9.1.x、低于 9.0.13 的 PostgreSQL 9.0.x 以及低于 8.4.17 的 PostgreSQL 8.4.x 生成随机性不足的编号，这可能允许经过认证的远程用户通过与“contrib/pgcrypto”函数相关的矢量造成不明影响。

此 9.1.9 版本更新修复了：

- 修复了服务器命令行开关不安全解析的问题。
 (CVE-2013-1899)

- 重置每个 postmaster 子进程中的 OpenSSL 随机性状态。(CVE-2013-1900)

- 对当前用户而非已通过认证的用户进行 REPLICATION 权限检查测试。(CVE-2013-1901)

远程主机上安装的 PostgreSQL 版本为低于 9.0.13 的 9.0.x、低于 9.1.9 的 9.1.x 或低于 9.2.4 的 9.2.x。因此，它可能受到一个文件删除漏洞的影响。未经认证的远程攻击者可通过请求以“-”开头的数据库名称来破坏或销毁服务器的数据目录中的文件。

Versions of PostgreSQL earlier than 9.1.9 or 9.2.4 and are potentially affected by the following vulnerabilities :

  - A denial of service when parsing server command-line switches. (CVE-2013-1899)

  - An information disclosure due to an error in the 'contrib\pgcrypto' functions. (CVE-2013-1900)

  - An insecure temporary file-creation, specifically occurs when a file with a predictable filename in the '/tmp' directory is created. (CVE-2013-1902)

  - A password disclosure vulnerability occurs due to the application passing the database superuser passwords to a script, specifically exists in the graphical installers package. (CVE-2013-1093)

The remote host is missing Mac OS X security update 2013-004 that fixes multiple security issues. 

The remote host is running a version of Mac OS X 10.8 that is older than 10.8.5. The newer version contains numerous security-related fixes for the following components :

  - Apache
  - Bind
  - Certificate Trust Policy
  - CoreGraphics
  - ImageIO
  - Installer
  - IPSec
  - Kernel
  - Mobile Device Management
  - OpenSSL
  - PHP
  - PostgreSQL
  - Power Management
  - QuickTime
  - Screen Lock
  - sudo

 This update also addresses an issue in which certain Unicode strings could cause applications to unexpectedly quit.

 Note that successful exploitation of the most serious issues could result in arbitrary code execution.

Versions of PostgreSQL earlier than 9.1.9 or 9.2.4 and are potentially affected by the following vulnerabilities :

  - A denial of service when parsing server command-line switches. (CVE-2013-1899)

  - An information disclosure due to an error in the 'contrib\pgcrypto' functions. (CVE-2013-1900)

  - Is is prone to a security-bypass, the server component fails to properly handle REPLICATION privilege checks for the current user. (CVE-2013-1901)

  - An insecure temporary file-creation, specifically occurs when a file with a predictable filename in the '/tmp' directory is created. (CVE-2013-1902)

  - A password disclosure vulnerability occurs due to the application passing the database superuser passwords to a script, specifically exists in the graphical installers package. (CVE-2013-1093)

ID	名稱	產品	系列	已發布	已更新	嚴重性
69737	Amazon Linux AMI：postgresql9 (ALAS-2013-178)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	high
69932	Mac OS X：OS X Server < 2.2.2 多個弱點	Nessus	MacOS X Local Security Checks	2013/9/17	2018/7/14	high
65829	SuSE 11.2 安全性更新：PostgreSQL (SAT 修補程式編號 7585)	Nessus	SuSE Local Security Checks	2013/4/7	2021/1/19	high
65855	PostgreSQL 9.0 < 9.0.13 / 9.1 < 9.1.9 / 9.2 < 9.2.4 檔案刪除	Nessus	Databases	2013/4/8	2023/4/4	medium
74962	openSUSE 安全性更新：postgresql92 (openSUSE-SU-2013:0628-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
74962	openSUSE 安全更新：postgresql92 (openSUSE-SU-2013:0628-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
69932	Mac OS X：OS X Server < 2.2.2 多种漏洞	Nessus	MacOS X Local Security Checks	2013/9/17	2018/7/14	high
69737	Amazon Linux AMI：postgresql9 (ALAS-2013-178)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	high
65829	SuSE 11.2 安全更新：PostgreSQL（SAT 修补程序编号 7585）	Nessus	SuSE Local Security Checks	2013/4/7	2021/1/19	high
65855	PostgreSQL 9.0 < 9.0.13 / 9.1 < 9.1.9 / 9.2 < 9.2.4 文件删除	Nessus	Databases	2013/4/8	2023/4/4	medium
6745	PostgreSQL < 9.0.13 Multiple Vulnerabilities	Nessus Network Monitor	Database	2013/4/5	2019/3/6	medium
8008	Mac OS X 10.8 < 10.8.5 Multiple Vulnerabilities (Security Update 2013-004)	Nessus Network Monitor	Web Clients	2013/9/16	2019/3/6	critical
6744	PostgreSQL < 9.1.9 / 9.2.4 Multiple Vulnerabilities	Nessus Network Monitor	Database	2013/4/5	2019/3/6	medium

偵測

搜尋 Plugin

high

high

high

medium

high

high

high

high

high

medium

medium

critical

medium