NVD Vulnerability Detail

CVE-2009-4136

Summary	PostgreSQL 7.4.x before 7.4.27, 8.0.x before 8.0.23, 8.1.x before 8.1.19, 8.2.x before 8.2.15, 8.3.x before 8.3.9, and 8.4.x before 8.4.2 does not properly manage session-local state during execution of an index function by a database superuser, which allows remote authenticated users to gain privileges via a table with crafted index functions, as demonstrated by functions that modify (1) search_path or (2) a prepared statement, a related issue to CVE-2007-6600 and CVE-2009-3230.
Publication Date	Dec. 16, 2009, 3:30 a.m.
Registration Date	Jan. 29, 2021, 1:26 p.m.
Last Update	Oct. 11, 2018, 4:48 a.m.

CVSS2.0 : MEDIUM
Score	6.5
Vector	AV:N/AC:L/Au:S/C:P/I:P/A:P
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃前の認証要否(Au)	単一
機密性への影響(C)	低
完全性への影響(I)	低
可用性への影響(A)	低
Get all privileges.	いいえ
Get user privileges	いいえ
Get other privileges	いいえ
User operation required	いいえ

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:postgresql:postgresql:7.4.1:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.2:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.3:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.4:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.5:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.6:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.7:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.8:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.9:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.10:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.11:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.12:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.13:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.14:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.15:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.16:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.17:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.18:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.19:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.20:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.21:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.22:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.23:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.24:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.25:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.26:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.0:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.17:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.18:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.19:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.20:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.21:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.22:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.0:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.17:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.18:::::::*
cpe:2.3:a:postgresql:postgresql:8.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.4.1:::::::*

Related information, measures and tools

No	URL	refsource	タグ
1	http://lists.opensuse.org/opensuse-security-announce/2010-01/msg00007.html	SUSE
2	http://marc.info/?l=bugtraq&m=134124585221119&w=2	HP
3	http://osvdb.org/61039	OSVDB
4	http://secunia.com/advisories/37663	SECUNIA
5	http://secunia.com/advisories/39820	SECUNIA
6	http://wiki.rpath.com/wiki/Advisories:rPSA-2010-0012	CONFIRM
7	http://www.mandriva.com/security/advisories?name=MDVSA-2009:333	MANDRIVA
8	http://www.postgresql.org/docs/current/static/release-7-4-27.html	CONFIRM	Patch Vendor Advisory
9	http://www.postgresql.org/docs/current/static/release-8-0-23.html	CONFIRM	Patch Vendor Advisory
10	http://www.postgresql.org/docs/current/static/release-8-1-19.html	CONFIRM	Patch Vendor Advisory
11	http://www.postgresql.org/docs/current/static/release-8-2-15.html	CONFIRM	Patch Vendor Advisory
12	http://www.postgresql.org/docs/current/static/release-8-3-9.html	CONFIRM	Patch Vendor Advisory
13	http://www.postgresql.org/docs/current/static/release-8-4-2.html	CONFIRM	Patch Vendor Advisory
14	http://www.postgresql.org/support/security.html	CONFIRM	Vendor Advisory
15	http://www.redhat.com/support/errata/RHSA-2010-0427.html	REDHAT
16	http://www.redhat.com/support/errata/RHSA-2010-0428.html	REDHAT
17	http://www.redhat.com/support/errata/RHSA-2010-0429.html	REDHAT
18	http://www.securityfocus.com/archive/1/509917/100/0/threaded	BUGTRAQ
19	http://www.securityfocus.com/bid/37333	BID
20	http://www.securitytracker.com/id?1023326	SECTRACK
21	http://www.vupen.com/english/advisories/2009/3519	VUPEN
22	http://www.vupen.com/english/advisories/2010/1197	VUPEN
23	https://bugzilla.redhat.com/show_bug.cgi?id=546321	CONFIRM	Patch
24	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A9358	OVAL
25	https://www.redhat.com/archives/fedora-package-announce/2009-December/msg01035.html	FEDORA
26	https://www.redhat.com/archives/fedora-package-announce/2009-December/msg01056.html	FEDORA

Common Vulnerabilities List

JVN Vulnerability Information

PostgreSQL におけるインデックスの処理に関する権限を取得される脆弱性

Title	PostgreSQL におけるインデックスの処理に関する権限を取得される脆弱性
Summary	PostgreSQL には、スーパーユーザ権限によるインデックスの処理に不備があるため、権限を取得される脆弱性が存在します。本脆弱性は CVE-2007-6600 および CVE-2009-3230 と関連があります。
Possible impacts	巧妙に細工されたインデックスにより、リモート認証されたユーザに権限を取得される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Dec. 15, 2009, midnight
Registration Date	Jan. 26, 2010, 11:48 a.m.
Last Update	June 7, 2010, 4:48 p.m.

Affected System

サン・マイクロシステムズ

OpenSolaris (sparc)

OpenSolaris (x86)

Sun Solaris 10 (sparc)

Sun Solaris 10 (x86)

レッドハット

Red Hat Enterprise Linux 3 (as)

Red Hat Enterprise Linux 3 (es)

Red Hat Enterprise Linux 3 (ws)

Red Hat Enterprise Linux 4 (as)

Red Hat Enterprise Linux 4 (es)

Red Hat Enterprise Linux 4 (ws)

Red Hat Enterprise Linux 4.8 (as)

Red Hat Enterprise Linux 4.8 (es)

Red Hat Enterprise Linux 5 (server)

Red Hat Enterprise Linux Desktop 3.0

Red Hat Enterprise Linux Desktop 4.0

Red Hat Enterprise Linux Desktop 5.0 (client)

RHEL Desktop Workstation 5 (client)

ターボリナックス

Turbolinux Appliance Server 2.0

Turbolinux Appliance Server 3.0

Turbolinux Appliance Server 3.0 (x64)

Turbolinux Client 2008

Turbolinux Server 10

Turbolinux Server 10 (x64)

Turbolinux Server 11

Turbolinux Server 11 (x64)

サイバートラスト株式会社

Asianux Server 3 (x86)

Asianux Server 3 (x86-64)

Asianux Server 3.0

Asianux Server 3.0 (x86-64)

Asianux Server 4.0

Asianux Server 4.0 (x86-64)

PostgreSQL.org

PostgreSQL 7.4.27 未満

PostgreSQL 8.0.23 未満

PostgreSQL 8.1.19 未満

PostgreSQL 8.2.15 未満

PostgreSQL 8.3.9 未満

PostgreSQL 8.4.2 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2009-4136	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4136
National Vulnerability Database (NVD)
2	CVE-2009-4136	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-4136
PostgreSQL Security Information
3	CVE-2009-4136	http://www.postgresql.org/support/security.html

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther

ベンダー情報

No	Name	URL
Asianux Technical Support Network
1	postgresql-8.1.21-1.1.0.1.AXS3	https://tsn.miraclelinux.com/tsn_local/index.php?m=errata&a=detail&eid=1043
MIRACLE LINUX アップデート情報
2	2061	http://www.miraclelinux.com/support/index.php?q=node/99&errata_id=2061
3	2063	http://www.miraclelinux.com/support/index.php?q=node/99&errata_id=2063
PostgreSQL Release Notes
4	release-7-4-27	http://www.postgresql.org/docs/current/static/release-7-4-27.html
5	release-8-0-23	http://www.postgresql.org/docs/current/static/release-8-0-23.html
6	release-8-1-19	http://www.postgresql.org/docs/current/static/release-8-1-19.html
7	release-8-2-15	http://www.postgresql.org/docs/current/static/release-8-2-15.html
8	release-8-3-9	http://www.postgresql.org/docs/current/static/release-8-3-9.html
9	release-8-4-2	http://www.postgresql.org/docs/current/static/release-8-4-2.html
Red Hat Security Advisory
10	RHSA-2010:0427	https://rhn.redhat.com/errata/RHSA-2010-0427.html
11	RHSA-2010:0428	https://rhn.redhat.com/errata/RHSA-2010-0428.html
12	RHSA-2010:0429	https://rhn.redhat.com/errata/RHSA-2010-0429.html
Sun Alert Notification
13	274870	http://sunsolve.sun.com/search/document.do?assetkey=1-66-274870-1
Turbolinux Security Advisory (英語)
14	TLSA-2010-2	http://www.turbolinux.com/security/2010/TLSA-2010-2.txt
製品セキュリティ情報
15	TLSA-2010-2	http://www.turbolinux.co.jp/security/2010/TLSA-2010-2j.txt

その他

No	Name	URL
OPEN SOURCE VULNERABILITY DATABASE (OSVDB)
1	61039	http://osvdb.org/61039
Secunia Advisory
2	SA37663	http://secunia.com/advisories/37663
SecurityFocus
3	37333	http://www.securityfocus.com/bid/37333
SecurityTracker
4	1023326	http://www.securitytracker.com/id?1023326
VUPEN Security
5	VUPEN/ADV-2009-3519	http://www.vupen.com/english/advisories/2009/3519

Change Log

No	Changed Details	Date of change
0	[2010年01月26日] 掲載 [2010年06月07日] 影響を受けるシステム：ミラクル・リナックス (postgresql-8.1.21-1.1.0.1.AXS3) の情報を追加影響を受けるシステム：ミラクル・リナックス (2061) の情報を追加影響を受けるシステム：ミラクル・リナックス (2063) の情報を追加影響を受けるシステム：レッドハット (RHSA-2010:0427) の情報を追加影響を受けるシステム：レッドハット (RHSA-2010:0428) の情報を追加影響を受けるシステム：レッドハット (RHSA-2010:0429) の情報を追加ベンダ情報：ミラクル・リナックス (postgresql-8.1.21-1.1.0.1.AXS3) を追加ベンダ情報：ミラクル・リナックス (2061) を追加ベンダ情報：ミラクル・リナックス (2063) を追加ベンダ情報：レッドハット (RHSA-2010:0427) を追加ベンダ情報：レッドハット (RHSA-2010:0428) を追加ベンダ情報：レッドハット (RHSA-2010:0429) を追加	Feb. 17, 2018, 10:37 a.m.

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:postgresql:postgresql:7.4.1:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.2:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.3:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.4:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.5:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.6:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.7:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.8:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.9:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.10:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.11:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.12:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.13:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.14:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.15:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.16:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.17:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.18:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.19:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.20:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.21:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.22:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.23:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.24:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.25:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.26:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.0:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.17:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.18:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.19:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.20:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.21:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.22:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.0:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.17:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.18:::::::*
cpe:2.3:a:postgresql:postgresql:8.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.4.1:::::::*