hallo,
hier die offizielle meldung vom bsi:
######################################################################
CERT-Bund – Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K06/0162
Titel: Neue Version von PostgreSQL behebt zwei Schwachstellen
Datum: 15.02.2006
Software: PostgreSQL
Version: < 8.1.3
Plattform: Alle unterstuetzten Plattformen
Auswirkung: Privilegieneskalation
Remoteangriff: Ja
Risiko: hoch
Bezug: <> http://www.postgresql.org/about/news.476> >######################################################################
In der Datenbank PostgreSQL wurden mit Erscheinen der neuen Version
8.1.3 u.a. zwei Schwachstellen behoben:o Privilegieneskalation: ein angemeldetere Benutzer kann durch einen
Fehler in der ‘SET ROLE’-Funktion Administrator-Rechte erlangen.
o Denial-of-Service: eine nicht weiter beschriebene Schwachstelle
erlaubt einem entfernten Angreifer die Anwendung zum Absturz zu
bringen. Dies setzt voraus, dass PostgreSQL mit der Option ‘Asserts’
kompiliert wurde (kein Standard-Parameter).[1] <> http://www.postgresql.org/about/news.476> >
[2] <> http://www.securityfocus.com/bid/16649> >
[3] <> http://www.securityfocus.com/bid/16650> >
Mit freundlichen Gruessen
das Team CERT-Bund=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-BundTelefon +49-228-9582-110 / FAX +49-228-9582-427
mailto: certbund@bsi.bund.de> > / <> http://www.bsi.bund.de> >=======================================================================
Hinweise zum Abmeldeverfahren dieser Mailingliste gibt es auf den
Seiten des CERT-Bund <> http://www.bsi.de/certbund/infodienst/> >Die Authentizitaet dieser Nachricht kann anhand der digitalen Signatur
ueberprueft werden. Die hierfuer zum Einsatz kommenden oeffentlichen
Schluessel sowie die Verfahren sind auf den Seiten des CERT-Bund
<> http://www.bsi.de/certbund/digsig/> > aufgefuehrt und erlaeutert.HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
cu tb