Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (12.02.2015):
Ubuntu stellt Sicherheitsupdates auf den aktuellen Stand von PostgreSQL
für die Distributionen Ubuntu 14.10 (postgresql-9.4.1), Ubuntu 14.04 LTS
(postgresql-9.3.6), Ubuntu 12.04 LTS (postgresql-9.1.15) und Ubuntu 10.04
LTS (postgresql-8.4.22) zur Verfügung.
Version 1 (09.02.2015):
Neues Advisory
Betroffene Software:
PostgreSQL <= 8.4.21 PostgreSQL <= 9.1.14 PostgreSQL <= 9.3.5 PostgreSQL <= 9.4 Betroffene Plattformen: Canonical Ubuntu Linux 10.04 Lts Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 14.04 Lts Canonical Ubuntu Linux 14.10 Debian Linux 7.7 Wheezy Debian Linux 8.0 Jessie Mehrere Schwachstellen in PostgreSQL ermöglichen einem entfernten, nicht authentifizierten Angreifer Informationen auszuspähen, Denial-of-Service-Angriffe durchzuführen oder beliebigen Programmcode auszuführen. Debian stellt Sicherheitsupdates bereit und aktualisiert PostgreSQL auf die Versionen 9.1.15-0 (Wheezy) und 9.1.14-0 (Jessie) Patch: Debian Security Advisory DSA-3155-1 https://www.debian.org/security/2015/dsa-3155
Patch:
Ubuntu Security Notice USN-2499-1
http://www.ubuntu.com/usn/usn-2499-1/
CVE-2015-0244: Schwachstelle im frontend/backend Protokoll ermöglicht das
Ausführen beliebigen Programmcodes
Eine Schwachstelle im Frontend/Backend-Protokoll führt dazu, dass durch
einen Fehler beim Lesen von Protokoll-Nachrichten vom Client, die
Synchronisation verloren geht. Dadurch können Teile der Nachricht als eine
neue Protokoll-Nachricht interpretiert werden. Ein entfernter, nicht
authentifizierter Angreifer kann, durch präparierte Binär-Daten innerhalb
einer Kommando-Anweisung, beliebigen Programmcode ausführen.
CVE-2015-0243: Schwachstelle in contrib/pgcrypto ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle in dem Modul contrib/pgcrypto ermöglicht, durch eine
fehlerhafte Verfolgung der Speichergröße, einen Stapelspeicherüberlauf und
eine unzulässig Abhängigkeit von nicht initialisierten Speicherbereichen.
Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen oder möglicherweise Benutzerrechte
erweitern.
CVE-2015-0241: Schwachstelle in Funktion to_char() ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle, die bei der Umwandlung von Zahlen in Zeichen (to_char())
auftritt, führt dazu, dass bei der Verarbeitung einer großen Anzahl von
Zahlen über die Speichergrenzen gelesen wird. Bei der Verarbeitung von
präparierten Zeitstempeln wird über die Speichergrenzen hinaus geschrieben.
Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2014-8161: Schwachstelle in Postgresql ermöglicht das Ausspähen von
Informationen
In der Anzeige einer Fehlernachricht, die dadurch verursacht wird, dass ein
Wert innerhalb einer Select-Anfrage nicht der Bedingung der Anfrage
entspricht, wird der Inhalt des Wertes angezeigt. Der Wert wird unabhängig
davon anzeigt, ob der Benutzer das Recht hat den Wert innerhalb einer Select
Anweisung abzufragen. Ein entfernter, nicht authentifizierter Angreifer kann
Informationen ausspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0166/
Schwachstelle CVE-2014-8161 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8161
Schwachstelle CVE-2015-0241 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0241
Schwachstelle CVE-2015-0243 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0243
Schwachstelle CVE-2015-0244 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0244
Debian Security Advisory DSA-3155-1:
https://www.debian.org/security/2015/dsa-3155
Ubuntu Security Notice USN-2499-1:
http://www.ubuntu.com/usn/usn-2499-1/
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
