RHEL7:RHSA2023:4313
高位奈苏斯插件号178949
語系：
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。华府
Redhat企业Linux7RHSA-2023- schema_element 破壞了保護性的 search_path 變更；據發現,PostgreSQL 中的某些資料庫呼叫可允許具有升級的資料庫層級權限的經驗證攻擊者執行任意程式碼。(CVE-2023-2454)
- 行安全性原則會在內嵌後忽略使用者 ID 變更；PostgreSQL 可允許在某些情況下套用不正確的原則：使用特定於角色的原則,並在一個角色下規劃給定的查詢,然後在其他角色下執行。此情況可能發生在安全性定義程式函式之下,或是在最初規劃了一般使用者和查詢,然後在多個 SET ROLE 之間重複使用時發生。套用不正確的原則可能會允許使用者完成原本禁止的讀取和修改作業。此問題只會影響已使用「CREATE POLICY」定義列安全性原則的資料庫。(CVE-2023-2455)
請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
https://access.redhat.com/security/cve/CVE-2023-2454
Plugin 詳細資訊
嚴重性 :高位
身份证 :178949
檔案名稱 :redhat-RHSA-2023-4313.nasl
版本 :1.0
類型 :本地化
代理程式 :unix连接
系列 :红帽局部安全检查
已發布 :2023/7/27
已更新 :2023/7/27
支援的感應器 :无代理评估,无疑评估代理,无疑评估AWS,无疑评估Azure,内苏斯代理
風險資訊
VPR
風險因素 :中度
分數 :6.7
CVSS v2
風險因素 :高位
基本分數 :8.3
時間分數 :6.1
.. :CVSS2#AV:N/AC:L/Au:M/C:C/I:C/A:C
CVSS :CVE20232454
CVSSv3
風險因素 :高位
基本分數 :7.2
時間分數 :6.3
.. :CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
時間媒介 :CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE系统 :cpe:/o:redhat:enterprise_linux:7,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-contrib,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-contrib-syspaths,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-devel,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-docs,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-libs,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-plperl,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-plpython,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-pltcl,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-server,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-server-syspaths,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-static,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-syspaths,p-cpe:/a:redhat:enterprise_linux:rh-postgresql12-postgresql-test
ewrk :Host/local_checks_enabled,Host/RedHat/release,Host/RedHat/rpm-list,主机/cpu
可輕鬆利用 :无已知利用
修補程式發佈日期 :2023/7/27
弱點發布日期 :2023/5/11
參考資訊
CVE系统 :CVE20232454,CVE20232455