GLSA 201811-24: PostgreSQL: SQL injection

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	PostgreSQL: SQL injection
Дата:	30.11.2018
Ошибки:	#670724
ID:	201811-24

Сводка

A SQL injection in PostgreSQL may allow attackers to execute arbitrary SQL statements.

Назначение

PostgreSQL is an open source object-relational database management system.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-db/postgresql	9.3.25	>= 9.3.25	All supported architectures

Описание

A vulnerability was discovered in PostgreSQL’s pg_upgrade and pg_dump.

Воздействие

An attacker, by enticing a user to process a specially crafted trigger definition, can execute arbitrary SQL statements with superuser privileges.

Обход

There is no known workaround at this time.

Решение

All PostgreSQL 9.3.x users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-db/postgresql-9.3.25"

All PostgreSQL 9.4.x users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-db/postgresql-9.4.20"

All PostgreSQL 9.5.x users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-db/postgresql-9.5.15"

All PostgreSQL 9.6.x users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-db/postgresql-9.6.11"

All PostgreSQL 10.x users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-db/postgresql-10.6"

All PostgreSQL 11.x users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-db/postgresql-11.1"

Ссылки

CVE-2018-16850

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201811-24.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.