深刻渡：重要：PostgreSQLのセキュリティアップデート
| アドバイスID: | RHSA-2005:150-04 |
| 最終更新日: | 2005-02-16 |
| 影響のあるプロダクト: |
Red Hat Enterprise Linux AS (v. 2.1) Red Hat Enterprise Linux ES (v. 2.1) Red Hat Enterprise Linux WS (v. 2.1) Red Hat Linux Advanced Workstation 2.1 for the Itanium Processor |
| CVEs (cve.mitre.org): |
CAN-2005-0227 CAN-2005-0245 CAN-2005-0247 |
セキュリティ・アドバイス
概要:
複数のセキュリティ欠陥を修正したPostgreSQLのアップデートパッケージがRed Hat Enterprise Linux 2.1ASで利用可能になりました。
このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重要（Important）」のセキュリティ問題と評価されています。
PostgreSQLは、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。
PostgreSQLのLOADコマンドに欠陥が見つかりました。ローカルユーザはこの欠陥を利用して、任意の共有ライブラリをロードすることができます。この結果、任意のコードを実行してPostgreSQLサーバの権限を取得する可能性があります。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2005-0227と命名されています。
PostgreSQLにパーミッションチェックの欠陥が見つかりました。ローカルユーザは、CREATE AGGREGATEコマンドを使用することにより、関数のEXECUTEパーミッションチェックをバイパスすることができます。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2005-0244 と命名されています。
PL/PgSQLに複数のバッファオーバーフローが見つかりました。plpgsql関数の作成パーミッションを持つデータベースユーザは、この欠陥を発生させて、任意のコードを実行し、PostgreSQLサーバの権限を取得できる可能性があります。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、これらの問題はCAN-2005-0245およびCAN-2005-0247と命名されています。
PostgreSQLのcontribモジュールの整数アグリゲータ（intagg）に欠陥が見つかりました。ユーザが巧妙に作成された配列を利用して、サービス拒否を引き起こさせる可能性があります（クラッシュ）。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2005-0246 と命名されています。
PostgreSQLのユーザは、これらの問題に対して脆弱性のない上記エラータパッケージにアップグレードすることをお勧めします。
アップデート・パッケージ:
| Red Hat Enterprise Linux AS (v. 2.1) | |
| SRPMS: | |
| postgresql-7.1.3-6.rhel2.1AS.src.rpm | d6372acaa5a690ea28fa6db8514467f4 |
| IA-32: | |
| postgresql-7.1.3-6.rhel2.1AS.i386.rpm | d5dd4645e60377652a3b20b8ea2075c8 |
| postgresql-contrib-7.1.3-6.rhel2.1AS.i386.rpm | 900fff68faddf8a4a74d9f28c1798228 |
| postgresql-devel-7.1.3-6.rhel2.1AS.i386.rpm | fa7a457aca0a82c84695343029f01daa |
| postgresql-docs-7.1.3-6.rhel2.1AS.i386.rpm | 6413c9dff17164013e41dfc7e9abc4fb |
| postgresql-jdbc-7.1.3-6.rhel2.1AS.i386.rpm | 14052b797b37408cc83842869128602b |
| postgresql-libs-7.1.3-6.rhel2.1AS.i386.rpm | 5f63b3466fad8ba0c95ca8f895c01d52 |
| postgresql-odbc-7.1.3-6.rhel2.1AS.i386.rpm | 44b516e32296194ee2f4087a5f1b673e |
| postgresql-perl-7.1.3-6.rhel2.1AS.i386.rpm | 6b4f6323a147590a7347cbf0f92042e5 |
| postgresql-python-7.1.3-6.rhel2.1AS.i386.rpm | cdbe160b61882748a38f7cc9d251ab61 |
| postgresql-server-7.1.3-6.rhel2.1AS.i386.rpm | b1b051ed6aaf151c461ccf39a460f8bc |
| postgresql-tcl-7.1.3-6.rhel2.1AS.i386.rpm | 24a53c8b9b10697f2cfa6c690cc8b37b |
| postgresql-test-7.1.3-6.rhel2.1AS.i386.rpm | 340239bd5986f62ec040ba42b12c108d |
| postgresql-tk-7.1.3-6.rhel2.1AS.i386.rpm | a79a012ff3eadfd2630dc863b29479dc |
| IA-64: | |
| postgresql-7.1.3-6.rhel2.1AS.ia64.rpm | ab956518e3d0a552e193316444fdebe8 |
| postgresql-contrib-7.1.3-6.rhel2.1AS.ia64.rpm | 7af5314c1bfaadcf4f8837caa41b5b9b |
| postgresql-devel-7.1.3-6.rhel2.1AS.ia64.rpm | 9b8d0b95c2c386dd16ca225185c70446 |
| postgresql-docs-7.1.3-6.rhel2.1AS.ia64.rpm | 8f178d5340ef48550351970e0954bcb6 |
| postgresql-jdbc-7.1.3-6.rhel2.1AS.ia64.rpm | 53a27c906e4930481e3d8bccac9b1aed |
| postgresql-libs-7.1.3-6.rhel2.1AS.ia64.rpm | 9426664bacc88b2836f917c00ae8022d |
| postgresql-odbc-7.1.3-6.rhel2.1AS.ia64.rpm | f764dc209d0447701ca238571d192d43 |
| postgresql-perl-7.1.3-6.rhel2.1AS.ia64.rpm | 59054a3ca270a50180dabf602f3fc64a |
| postgresql-python-7.1.3-6.rhel2.1AS.ia64.rpm | d0f46f72f7e01f1db5f4226813bde4d9 |
| postgresql-server-7.1.3-6.rhel2.1AS.ia64.rpm | cfba743e7d03547bb4042a7e35821f89 |
| postgresql-tcl-7.1.3-6.rhel2.1AS.ia64.rpm | 39886dba0d0b65c0df5ac717eb947c38 |
| postgresql-test-7.1.3-6.rhel2.1AS.ia64.rpm | 7a37f6ece0ca1f03fd54c83b70379c85 |
| postgresql-tk-7.1.3-6.rhel2.1AS.ia64.rpm | db8137c889d035f1cf4ab47e6687cfaf |
| Red Hat Enterprise Linux ES (v. 2.1) | |
| SRPMS: | |
| postgresql-7.1.3-6.rhel2.1AS.src.rpm | d6372acaa5a690ea28fa6db8514467f4 |
| IA-32: | |
| postgresql-7.1.3-6.rhel2.1AS.i386.rpm | d5dd4645e60377652a3b20b8ea2075c8 |
| postgresql-contrib-7.1.3-6.rhel2.1AS.i386.rpm | 900fff68faddf8a4a74d9f28c1798228 |
| postgresql-devel-7.1.3-6.rhel2.1AS.i386.rpm | fa7a457aca0a82c84695343029f01daa |
| postgresql-docs-7.1.3-6.rhel2.1AS.i386.rpm | 6413c9dff17164013e41dfc7e9abc4fb |
| postgresql-jdbc-7.1.3-6.rhel2.1AS.i386.rpm | 14052b797b37408cc83842869128602b |
| postgresql-libs-7.1.3-6.rhel2.1AS.i386.rpm | 5f63b3466fad8ba0c95ca8f895c01d52 |
| postgresql-odbc-7.1.3-6.rhel2.1AS.i386.rpm | 44b516e32296194ee2f4087a5f1b673e |
| postgresql-perl-7.1.3-6.rhel2.1AS.i386.rpm | 6b4f6323a147590a7347cbf0f92042e5 |
| postgresql-python-7.1.3-6.rhel2.1AS.i386.rpm | cdbe160b61882748a38f7cc9d251ab61 |
| postgresql-server-7.1.3-6.rhel2.1AS.i386.rpm | b1b051ed6aaf151c461ccf39a460f8bc |
| postgresql-tcl-7.1.3-6.rhel2.1AS.i386.rpm | 24a53c8b9b10697f2cfa6c690cc8b37b |
| postgresql-test-7.1.3-6.rhel2.1AS.i386.rpm | 340239bd5986f62ec040ba42b12c108d |
| postgresql-tk-7.1.3-6.rhel2.1AS.i386.rpm | a79a012ff3eadfd2630dc863b29479dc |
| Red Hat Enterprise Linux WS (v. 2.1) | |
| SRPMS: | |
| postgresql-7.1.3-6.rhel2.1AS.src.rpm | d6372acaa5a690ea28fa6db8514467f4 |
| IA-32: | |
| postgresql-7.1.3-6.rhel2.1AS.i386.rpm | d5dd4645e60377652a3b20b8ea2075c8 |
| postgresql-contrib-7.1.3-6.rhel2.1AS.i386.rpm | 900fff68faddf8a4a74d9f28c1798228 |
| postgresql-devel-7.1.3-6.rhel2.1AS.i386.rpm | fa7a457aca0a82c84695343029f01daa |
| postgresql-docs-7.1.3-6.rhel2.1AS.i386.rpm | 6413c9dff17164013e41dfc7e9abc4fb |
| postgresql-jdbc-7.1.3-6.rhel2.1AS.i386.rpm | 14052b797b37408cc83842869128602b |
| postgresql-libs-7.1.3-6.rhel2.1AS.i386.rpm | 5f63b3466fad8ba0c95ca8f895c01d52 |
| postgresql-odbc-7.1.3-6.rhel2.1AS.i386.rpm | 44b516e32296194ee2f4087a5f1b673e |
| postgresql-perl-7.1.3-6.rhel2.1AS.i386.rpm | 6b4f6323a147590a7347cbf0f92042e5 |
| postgresql-python-7.1.3-6.rhel2.1AS.i386.rpm | cdbe160b61882748a38f7cc9d251ab61 |
| postgresql-server-7.1.3-6.rhel2.1AS.i386.rpm | b1b051ed6aaf151c461ccf39a460f8bc |
| postgresql-tcl-7.1.3-6.rhel2.1AS.i386.rpm | 24a53c8b9b10697f2cfa6c690cc8b37b |
| postgresql-test-7.1.3-6.rhel2.1AS.i386.rpm | 340239bd5986f62ec040ba42b12c108d |
| postgresql-tk-7.1.3-6.rhel2.1AS.i386.rpm | a79a012ff3eadfd2630dc863b29479dc |
| Red Hat Linux Advanced Workstation 2.1 for the Itanium Processor | |
| SRPMS: | |
| postgresql-7.1.3-6.rhel2.1AS.src.rpm | d6372acaa5a690ea28fa6db8514467f4 |
| IA-64: | |
| postgresql-7.1.3-6.rhel2.1AS.ia64.rpm | ab956518e3d0a552e193316444fdebe8 |
| postgresql-contrib-7.1.3-6.rhel2.1AS.ia64.rpm | 7af5314c1bfaadcf4f8837caa41b5b9b |
| postgresql-devel-7.1.3-6.rhel2.1AS.ia64.rpm | 9b8d0b95c2c386dd16ca225185c70446 |
| postgresql-docs-7.1.3-6.rhel2.1AS.ia64.rpm | 8f178d5340ef48550351970e0954bcb6 |
| postgresql-jdbc-7.1.3-6.rhel2.1AS.ia64.rpm | 53a27c906e4930481e3d8bccac9b1aed |
| postgresql-libs-7.1.3-6.rhel2.1AS.ia64.rpm | 9426664bacc88b2836f917c00ae8022d |
| postgresql-odbc-7.1.3-6.rhel2.1AS.ia64.rpm | f764dc209d0447701ca238571d192d43 |
| postgresql-perl-7.1.3-6.rhel2.1AS.ia64.rpm | 59054a3ca270a50180dabf602f3fc64a |
| postgresql-python-7.1.3-6.rhel2.1AS.ia64.rpm | d0f46f72f7e01f1db5f4226813bde4d9 |
| postgresql-server-7.1.3-6.rhel2.1AS.ia64.rpm | cfba743e7d03547bb4042a7e35821f89 |
| postgresql-tcl-7.1.3-6.rhel2.1AS.ia64.rpm | 39886dba0d0b65c0df5ac717eb947c38 |
| postgresql-test-7.1.3-6.rhel2.1AS.ia64.rpm | 7a37f6ece0ca1f03fd54c83b70379c85 |
| postgresql-tk-7.1.3-6.rhel2.1AS.ia64.rpm | db8137c889d035f1cf4ab47e6687cfaf |
| (The unlinked packages above are only available from the Red Hat Network) | |
解決法:
このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください： rpm -Fvh [filename] [filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。 up2date このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。
バグジラ: (詳細は、こちらbugzilla[英語]を御覧ください。)
130818 - PostgreSQL can lose committed transactions
147703 - CAN-2005-0227 Multiple security and data-loss issues in PostgreSQL (CAN-2004-0977 CAN-2005-0245 CAN-2005-0247)
参照:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0227
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0245
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0247
ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html
各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。
Copyright © 2008 Red Hat, Inc. All rights reserved.
プライバシー ステートメント :
リーガル ステートメント/利用条件 :
特許に関する見解と約束 :
各種お問い合わせ