Flere lokalt udnytbar sårbarheder er opdaget i PostgreSQL, en objekt-relationel SQL-database. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:
Man har opdaget at modulet DBLink udførte utilstrækkelig tilladelseskontrol. Dette problem er også registreret som CVE-2007-6601, da opstrøms oprindelige rettelse ikke var komplet.
Tavis Ormandy og Will Drewry opdagede at en fejl i håndteringen af tilbage-reference i regulære udtryk-maskinen kunne føre til læsning uden for grænserne, medførende et nedbrud (crash). Der er kun tale om et sikkerhedsproblem, hvis en applikation der anvender ProgreSQL, behandler regulære udtræk fra kilder man ikke stoler på.
Tavis Ormandy og Will Drewry opdagede at regulære udtryk kunne narres ind i en uendelig løkke, medførende lammelsesangreb. Der er kun tale om et sikkerhedsproblem, hvis en applikation der anvender ProgreSQL, behandler regulære udtræk fra kilder man ikke stoler på.
Tavis Ormandy og Will Drewry opdagede at optimeringen af regulære udtryk kunne narres til omfattende ressourceforbrug. Der er kun tale om et sikkerhedsproblem, hvis en applikation der anvender ProgreSQL, behandler regulære udtræk fra kilder man ikke stoler på.
Funktioner i indeksudtryk kunne føre til rettighedsforøgelse. For en mere uddybende forklaring, se opstrøms annoncering, som er tilgængelig på http://www.postgresql.org/about/news.905.
I den gamle stabile distribution (sarge) er nogle af disse problemer rettet i version 7.4.7-6sarge6 af pakken postgresql. Bemærk at rettelsen af CVE-2007-6600 og håndteringen af regulære udtræk ikke er ført tilbage, på grund af rettelsens omfattende påvirkning. Vi anbefaler at opgradere til den stabile distribution hvis disse sårbarheder påvirker din opsætning.
I den stabile distribution (etch), er disse problemer rettet i version 7.4.19-0etch1.
Den ustabile distribution (sid) indeholder ikke længere postgres-7.4.
Vi anbefaler at du opgraderer dine postgresql-7.4-pakker.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.