In der PostgreSQL-Datenbank wurden kürzlich mehrere Sicherheitslücken korrigiert. Mit Hilfe dieser Schwachstellen kann ein entfernter Angreifer Denial-of-Service-Attacken durchführen und möglicherweise auch an sensitive Information der Datenbank gelangen. Insgesamt wurden drei verschiedene Sicherheitslecks entdeckt und korrigiert:
- Eine Double-Free-Schwachstelle im Programmcode hat zur Folge, dass ein entfernter Angreifer mit Hilfe einer speziellen Datenbankanfrage den Dienst zum Absturz bringen kann. Der Programmierfehler tritt in den Routinen zur Authentifikation auf (CVE-2015-3165)
- Ein anderer Programmierfehler in der Standard-Bibliothek führt dazu, das ein entfernter Angreifer durch eine geschickte Anfrage auch an sensitive Informationen der Datenbank gelangen kann (CVE-2015-3166). Die betroffenen Funktionen sind zum Beispiel »sprintf()« und »putenv()«.
- Ein Fehler beim Anzeigen von Decryption-Fehlermeldungen hat ebenfalls zur Folge, dass ein entfernter Angreifer an sensitive Informationen gelangen kann (CVE-2015-3167). Der Programmierfehler befindet sich in der »pgcrypto()«-Funktion.
Betroffen sind die Versionen 9.0, 9.1, 9.2, 9.3 und 9.4.
