製品・ソフトウェアに関する情報

JVN脆弱性詳細

PostgreSQL の core server コンポーネントにおける権限昇格の脆弱性

タイトル	PostgreSQL の core server コンポーネントにおける権限昇格の脆弱性
概要	PostgreSQL の core server コンポーネントには、SET ROLE および SET SESSION AUTHORIZATION の操作に対して適切な権限を付与しないため、権限を取得される脆弱性が存在します。尚、本問題は CVE-2007-6600 の修正が不完全だったことによる問題です。
想定される影響	リモート認証されたユーザに権限を取得される可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2009年9月17日0:00
登録日	2009年10月28日10:00
最終更新日	2010年1月19日15:49

CVSS2.0 : 警告
スコア	6.5
ベクター	AV:N/AC:L/Au:S/C:P/I:P/A:P

影響を受けるシステム

サン・マイクロシステムズ

OpenSolaris (sparc)

OpenSolaris (x86)

Sun Solaris 10 (sparc)

Sun Solaris 10 (x86)

レッドハット

Red Hat Enterprise Linux 3 (as)

Red Hat Enterprise Linux 3 (es)

Red Hat Enterprise Linux 3 (ws)

Red Hat Enterprise Linux 4 (as)

Red Hat Enterprise Linux 4 (es)

Red Hat Enterprise Linux 4 (ws)

Red Hat Enterprise Linux 4.8 (as)

Red Hat Enterprise Linux 4.8 (es)

Red Hat Enterprise Linux 5 (server)

Red Hat Enterprise Linux Desktop 3.0

Red Hat Enterprise Linux Desktop 4.0

Red Hat Enterprise Linux Desktop 5.0 (client)

Red Hat Enterprise Linux EUS 5.4.z (server)

RHEL Desktop Workstation 5 (client)

ターボリナックス

Turbolinux Appliance Server 2.0

Turbolinux Appliance Server 3.0

Turbolinux Appliance Server 3.0 (x64)

Turbolinux Client 2008

Turbolinux FUJI

Turbolinux Server 10

Turbolinux Server 10 (x64)

Turbolinux Server 11

Turbolinux Server 11 (x64)

サイバートラスト株式会社

Asianux Server 3 (x86)

Asianux Server 3 (x86-64)

Asianux Server 3.0

Asianux Server 3.0 (x86-64)

Asianux Server 4.0

Asianux Server 4.0 (x86-64)

PostgreSQL.org

PostgreSQL 7.4.26 未満

PostgreSQL 8.0.22 未満

PostgreSQL 8.1.18 未満

PostgreSQL 8.2.14 未満

PostgreSQL 8.3.8 未満

PostgreSQL 8.4.1 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2009-3230	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3230
National Vulnerability Database (NVD)
2	CVE-2009-3230	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-3230
PostgreSQL Security Information
3	CVE-2009-3230	http://www.postgresql.org/support/security.html

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	名前	URL
Asianux Technical Support Network
1	postgresql-8.1.18-2.1.1AXS3	https://tsn.miraclelinux.com/tsn_local/index.php?m=errata&a=detail&eid=763
MIRACLE LINUX アップデート情報
2	1828	http://www.miraclelinux.com/support/index.php?q=node/99&errata_id=1828
3	1843	http://www.miraclelinux.com/support/index.php?q=node/99&errata_id=1843
PostgreSQL Release Notes
4	Release 8.4.1	http://www.postgresql.org/docs/8.4/static/release-8-4-1.html
Red Hat Security Advisory
5	RHSA-2009:1484	https://rhn.redhat.com/errata/RHSA-2009-1484.html
6	RHSA-2009:1485	https://rhn.redhat.com/errata/RHSA-2009-1485.html
Sun Alert Notification
7	270408	http://sunsolve.sun.com/search/document.do?assetkey=1-66-270408-1
Turbolinux Security Advisory (英語)
8	TLSA-2009-29	http://www.turbolinux.com/security/2009/TLSA-2009-29.txt
レッドハットセキュリティーアップデート
9	RHSA-2009:1484	https://www.jp.redhat.com/support/errata/RHSA/RHSA-2009-1484J.html
10	RHSA-2009:1485	https://www.jp.redhat.com/support/errata/RHSA/RHSA-2009-1485J.html
製品セキュリティ情報
11	TLSA-2009-29	http://www.turbolinux.co.jp/security/2009/TLSA-2009-29j.txt

その他

No	名前	URL
Secunia Advisory
1	SA36660	http://secunia.com/advisories/36660
2	SA36695	http://secunia.com/advisories/36695
SecurityFocus
3	36314	http://www.securityfocus.com/bid/36314

変更履歴

No	変更内容	変更日
0	[2009年10月28日] 掲載 [2009年11月17日] 影響を受けるシステム：サン・マイクロシステムズ (270408) の情報を追加影響を受けるシステム：ミラクル・リナックス (1812) の情報を追加ベンダ情報：サン・マイクロシステムズ (270408) を追加ベンダ情報：ミラクル・リナックス (1812) を追加 [2010年01月19日] 影響を受けるシステム：ミラクル・リナックス (1828) の情報を追加影響を受けるシステム：ミラクル・リナックス (1843) の情報を追加ベンダ情報：ミラクル・リナックス (1828) を追加ベンダ情報：ミラクル・リナックス (1843) を追加	2018年2月17日10:37

NVD脆弱性情報

CVE-2009-3230

概要	The core server component in PostgreSQL 8.4 before 8.4.1, 8.3 before 8.3.8, 8.2 before 8.2.14, 8.1 before 8.1.18, 8.0 before 8.0.22, and 7.4 before 7.4.26 does not use the appropriate privileges for the (1) RESET ROLE and (2) RESET SESSION AUTHORIZATION operations, which allows remote authenticated users to gain privileges. NOTE: this is due to an incomplete fix for CVE-2007-6600.
公表日	2009年9月17日19:30
登録日	2021年1月29日13:23
最終更新日	2018年10月11日4:43

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:postgresql:postgresql:7.4:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.1:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.2:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.3:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.4:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.5:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.6:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.7:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.8:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.9:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.10:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.11:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.12:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.13:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.14:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.15:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.16:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.17:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.18:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.19:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.20:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.21:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.22:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.23:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.24:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.25:::::::*
cpe:2.3:a:postgresql:postgresql:8.0:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.17:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.18:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.19:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.20:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.21:::::::*
cpe:2.3:a:postgresql:postgresql:8.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.4:::::::*

構成1	以上	以下	より上	未満
cpe:2.3:a:postgresql:postgresql:7.4:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.1:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.2:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.3:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.4:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.5:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.6:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.7:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.8:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.9:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.10:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.11:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.12:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.13:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.14:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.15:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.16:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.17:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.18:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.19:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.20:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.21:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.22:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.23:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.24:::::::*
cpe:2.3:a:postgresql:postgresql:7.4.25:::::::*
cpe:2.3:a:postgresql:postgresql:8.0:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.17:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.18:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.19:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.20:::::::*
cpe:2.3:a:postgresql:postgresql:8.0.21:::::::*
cpe:2.3:a:postgresql:postgresql:8.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.14:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.15:::::::*
cpe:2.3:a:postgresql:postgresql:8.1.16:::::::*
cpe:2.3:a:postgresql:postgresql:8.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.8:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.9:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.10:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.11:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.12:::::::*
cpe:2.3:a:postgresql:postgresql:8.2.13:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.1:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.2:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.3:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.4:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.5:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.6:::::::*
cpe:2.3:a:postgresql:postgresql:8.3.7:::::::*
cpe:2.3:a:postgresql:postgresql:8.4:::::::*

No	URL	refsource	タグ
1	http://archives.postgresql.org/pgsql-www/2009-09/msg00024.php	MLIST
2	http://lists.opensuse.org/opensuse-security-announce/2009-10/msg00001.html	SUSE
3	http://lists.opensuse.org/opensuse-security-announce/2009-10/msg00004.html	SUSE
4	http://marc.info/?l=bugtraq&m=134124585221119&w=2	HP
5	http://secunia.com/advisories/36660	SECUNIA	Vendor Advisory
6	http://secunia.com/advisories/36695	SECUNIA	Vendor Advisory
7	http://secunia.com/advisories/36727	SECUNIA	Vendor Advisory
8	http://secunia.com/advisories/36800	SECUNIA
9	http://secunia.com/advisories/36837	SECUNIA
10	http://sunsolve.sun.com/search/document.do?assetkey=1-66-270408-1	SUNALERT
11	http://wiki.rpath.com/wiki/Advisories:rPSA-2010-0012	CONFIRM
12	http://www.postgresql.org/docs/8.3/static/release-8-3-8.html	CONFIRM	Vendor Advisory
13	http://www.postgresql.org/support/security.html	CONFIRM	Vendor Advisory
14	http://www.securityfocus.com/archive/1/509917/100/0/threaded	BUGTRAQ
15	http://www.securityfocus.com/bid/36314	BID
16	http://www.ubuntu.com/usn/usn-834-1	UBUNTU
17	http://www.us.debian.org/security/2009/dsa-1900	DEBIAN
18	http://www.vupen.com/english/advisories/2009/2602	VUPEN	Vendor Advisory
19	https://bugzilla.redhat.com/show_bug.cgi?id=522085	CONFIRM
20	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A10166	OVAL
21	https://www.redhat.com/archives/fedora-package-announce/2009-September/msg00305.html	FEDORA
22	https://www.redhat.com/archives/fedora-package-announce/2009-September/msg00307.html	FEDORA