S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 20 février 2006 No CERTA-2005-AVI-166-002

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans PostgreSQL

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service ;
• élévation des privilèges.

2 Systèmes affectés

• PostgreSQL 7.x et versions antérieures ;
• PostgreSQL 8.x et versions antérieures.

3 Description

PostgreSQL est un outil de base de données Open Source.

Deux vulnérabilités découvertes dans PostgreSQL permettent à un utilisateur mal intentionné ayant accès au réseau local d'élever ses privilèges ou d'effectuer un déni de service.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

La mise à jour pour PostgreSQL est accessible à l'adresse suivante :

http://www.postgresql.org/download/

5 Documentation

• Site Internet de PostgreSQL :

  http://www.postgresql.org
  

• Annonces des vulnérabilités :

  http://www.postgresql.org/about/news.315
  

  http://www.postgresql.org/about/news.322
  

• Bulletin de sécurité Gentoo GLSA 200505-12 du 15 mai 2005 :

  http://www.gentoo.org/security/en/glsa/glsa-200505-12.xml
  

• Bulletin de sécurité Mandriva MDKSA-2005:093 du 26 mai 2005 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2005-:093
  

• Bulletin de sécurité RedHat RHSA-2005:433-17 du 01 juin 2005 :

  https://rhn.redhat.com/errata/RHSA-2005-433.html
  

• Mise à jour de sécurité Fedora Core 2 pour PostgreSQL :

  http://download.fedora.redhat.com/pub/fedora/linux/core/updates/2/
  

• Mise à jour de sécurité Fedora Core 3 pour PostgreSQL :

  http://download.fedora.redhat.com/pub/fedora/linux/core/updates/3/
  

• Bulletin de sécurité FreeBSD :

  http://www.vuxml.org/freebsd/pkg-postgresql.htmlhttp://www.vuxml.org/freebsd/pkg-postgresql.html
  

  ehttp://www.vuxml.org/freebsd/pkg-postgresql.html
• Référence CVE CAN-2005-1409 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-1409
  

• Référence CVE CAN-2005-1410 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-1410
  

Gestion détaillée du document

17 mai 2005

version initiale.

03 juin 2005

ajout des références aux bulletins de sécurité Mandriva et RedHat.

20 février 2006

ajout de la référence au bulletin de sécurité FreeBSD.