Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
postgresql-9.1
(any)
Описание
В PostgreSQL-9.1, системе баз данных SQL, было обнаружено несколько
уязвимостей.
CVE-2015-3165
(удалённое аварийное завершение работы)
SSL-клиенты, разрывающие соединение до истечения срока аутентификации,
могут вызвать аварийное завершение работы сервера.
CVE-2015-3166
(раскрытие информации)
Новая реализация snprintf() не выполняет проверку
ошибок, о которых сообщают подлежащие вызовы системной библиотеки; в первую
очередь вероятно отсутствует проверка на чтение за пределами памяти. В худшем
случае это может приводить к раскрытию информации.
CVE-2015-3167
(возможное раскрытие ключа через сторонний канал)
contrib/pgcrypto в некоторых случаях расшифровки с некорректным ключом
может выводить другой текст сообщения об ошибке. Исправлено путём использования
сообщения one-size-fits-all.
В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены
в версии 9.1.16-0+deb7u1.
В стабильном выпуске (jessie) эти проблемы были исправлены в
версии 9.1.16-0+deb8u1. (Jessie содержит урезанный пакет
postgresql-9.1; только CVE-2015-3166 исправлена в производном двоичном пакете
postgresql-plperl-9.1. Рекомендуется выполнить обновление до пакета postgresql-9.4, чтобы
получить полный набор исправлений. Подробности см. в информации о выпуске Jessie.)
В тестируемом (stretch) и нестабильном (sid) выпусках
пакет postgresql-9.1 отсутствует.
Рекомендуется обновить пакеты postgresql-9.1.
уязвимостей.
CVE-2015-3165
(удалённое аварийное завершение работы)
SSL-клиенты, разрывающие соединение до истечения срока аутентификации,
могут вызвать аварийное завершение работы сервера.
CVE-2015-3166
(раскрытие информации)
Новая реализация snprintf() не выполняет проверку
ошибок, о которых сообщают подлежащие вызовы системной библиотеки; в первую
очередь вероятно отсутствует проверка на чтение за пределами памяти. В худшем
случае это может приводить к раскрытию информации.
CVE-2015-3167
(возможное раскрытие ключа через сторонний канал)
contrib/pgcrypto в некоторых случаях расшифровки с некорректным ключом
может выводить другой текст сообщения об ошибке. Исправлено путём использования
сообщения one-size-fits-all.
В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены
в версии 9.1.16-0+deb7u1.
В стабильном выпуске (jessie) эти проблемы были исправлены в
версии 9.1.16-0+deb8u1. (Jessie содержит урезанный пакет
postgresql-9.1; только CVE-2015-3166 исправлена в производном двоичном пакете
postgresql-plperl-9.1. Рекомендуется выполнить обновление до пакета postgresql-9.4, чтобы
получить полный набор исправлений. Подробности см. в информации о выпуске Jessie.)
В тестируемом (stretch) и нестабильном (sid) выпусках
пакет postgresql-9.1 отсутствует.
Рекомендуется обновить пакеты postgresql-9.1.
Как исправить
Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 8:
noarch:
postgresql-9.1 - 9.1.16-0+deb8u1
Debian GNU/Linux 7:
noarch:
postgresql-9.1 - 9.1.16-0+deb7u1
Debian GNU/Linux 8:
noarch:
postgresql-9.1 - 9.1.16-0+deb8u1
Debian GNU/Linux 7:
noarch:
postgresql-9.1 - 9.1.16-0+deb7u1
Ссылки
http://www.debian.org/security/dsa-3269/
Источник: CVE
Наименование: CVE-2015-3165
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3165
Источник: CVE
Наименование: CVE-2015-3167
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3167
Источник: CVE
Наименование: CVE-2015-3166
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3166
Источник: CVE
Наименование: CVE-2015-3165
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3165
Источник: CVE
Наименование: CVE-2015-3167
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3167
Источник: CVE
Наименование: CVE-2015-3166
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3166
