2013年4月4日

【リリース情報】セキュリティリリース（9.2.4、9.1.9、9.0.13、8.4.17）が出ています

先日予告されていた通り、PostgreSQLのセキュリティリリースとして、新しいバージョン9.2.4、9.1.9、9.0.13、8.4.17が公開されました。 本セキュリティリリースのFAQも公開されています。 ここでは、セキュリティリリースのFAQのうち、主要な部分を対訳形式で掲載します。（翻訳に当たっては最善は尽くしていますが）当然ながら非公式な翻訳ですので、詳細は原文をご確認ください。

誤訳や改善の余地などがありましたら、コメント欄などにてフィードバックいただけると助かります。

2013-04-04 Security Release FAQ
2013-04-04 セキュリティリリースFAQ


While this FAQ covers the 2013-04-04 PostgreSQL Security Update in general, most of its contents focus on the primary security vulnerability patched in the release, CVE-2013-1899.

このFAQは2013-04-04のPostgreSQLセキュリティアップデートをカバーしていますので、内容の大部分は、このリリースで修正された主要なセキュリティ脆弱性 CVE-2013-1899 にフォーカスしています。

Who is particularly vulnerable because of this issue?
実際にこの問題によって誰が脆弱性に晒されていますか？


Any system that allows unrestricted access to the PostgreSQL network port, such as users running PostgreSQL on a public cloud, is especially vulnerable. Users whose servers are only accessible on protected internal networks, or who have effective firewalling or other network access restrictions, are less vulnerable.

PostgreSQLのネットワークポートに対して無制限のアクセスを許可しているすべてのシステム―特にPostgreSQLを動作させているパブリッククラウドなど―が特に危険に晒されています。保護された内部ネットワークのみがアクセス可能な場合、あるいはファイアーウォールやネットワークアクセス制限がある場合は、脆弱性はより低くなります。

This is a good general rule for database security: do not allow port access to the database server from untrusted networks unless it is absolutely necessary. This is as true, or more true, of other database systems as it is of PostgreSQL.

これは、データベースセキュリティについての良い一般的なルールです：信頼されないネットワークからの必要のないアクセスを許可するべきではありません。PostgreSQLと同様、他のデータベースでもこれは真実です。

What is the nature of the vulnerability?
この脆弱性によって何が行われるのですか？


The vulnerability allows users to use a command-line switch for a PostgreSQL connection intended for single-user recovery mode while PostgreSQL is running in normal, multiuser mode. This can be used to harm the server.

この脆弱性は、通常のマルチユーザーモードで動作しているPostgreSQLに対して、シングルユーザーリカバリモードで動作させるコマンドラインスイッチをユーザーが使用することを許してしまいます。これはサーバに損害を与えるために利用される可能性があります。

What potential exploits are enabled by this vulnerability
この脆弱性によって可能になる潜在的な損害はどのようなものですか？


1. Persistent Denial of Service: an unauthenticated attacker may use this vulnerability to cause PostgreSQL error messages to be appended to targeted files in the PostgreSQL data directory on the server. Files corrupted in this way may cause the database server to crash, and to refuse to restart. The database server can be fixed either by editing the files and removing the garbage text, or restoring from backup.

1. 永続的なDoS: 認証されていないアタッカーは、この脆弱性を使ってPostgreSQLのエラーメッセージをサーバ上のPostgreSQLデータディレクトリ内の狙ったファイルに追記する可能性があります。このようにして壊されたファイルは、データベースサーバをクラッシュさせ、再起動できなくなるかもしれません。データベースサーバは、余計なテキストを削除するようにファイルを編集するか、あるいはバックアップからレストアすることによって修正できます。

2. Configuration Setting Privilege Escalation: in the event that an attacker has a legitimate login on the database server, and the server is configured such that this user name and the database name are identical (e.g. user web, database web), then this vulnerability may be used to temporarily set one configuration variable with the privileges of the superuser.

2. 設定の権限エスカレーション: アタッカーがデータベースサーバへの正統なログインを取得するこの事象において、またユーザ名とデータベース名がまったく同じ設定になっている場合、この脆弱性は、一つの設定パラメータをスーパーユーザー権限で一時的に設定するために使われる可能性があります。

3. Arbitrary Code Execution: if the attacker meets all of the qualifications under 2 above, and has the ability to save files to the filesystem as well (even to the tmp directory), then they can use the vulnerability to load and execute arbitrary C code. SELinux will prevent this specific type of exploit.

3. 任意のコードの実行: もし、アタッカーが上記の2つを実行可能な場合、かつファイルをファイルシステム（tmpディレクトリであれ）に保存することが可能な場合、この脆弱性を任意のCコードを読み込んで実行するために使用することが可能になります。SELinuxは、このタイプの攻撃を防ぎます。

Which major versions of PostgreSQL are affected?
どのメジャーバージョンが影響を受けますか？


Versions 9.0, 9.1 and 9.2.

バージョン9.0, 9.1および9.2です。

Users of version 8.4 are not affected. Users of version 8.3 and earlier are not affected by this issue, but are vulnerable to other unpatched security vulnerabilities, since those versions are EOL.

バージョン8.4のユーザーは影響を受けません。8.3およびそれ以前のバージョンのユーザーは、この問題による影響は受けませんが、これらのバージョンはEOLとなっているため、パッチが提供されていない他の脆弱性によって危険に晒されています。

How can users protect themselves?
どのようにすればユーザーは自分自身で保護することができますか？


  • Download the update release and update all of your servers as soon as possible.
  • Ensure that PostgreSQL is not open to connections from untrusted networks.
  • Audit your database users to be certain that all logins require proper credentials, and that the only logins which exist are legitimate and in current use.
  • アップデートリリースをダウンロードし、すべてのサーバを可能な限り速やかに更新してください。
  • PostgreSQLが信頼できないネットワークからの接続に対してオープンでないことを確認してください。
  • データベースユーザーを監査し、すべてのユーザーに適切な認証を要求していること、および存在しているログイン名が、正統なものであり現在使用中のものであることを確認してください。
Use of advanced security frameworks, such as SELinux with PostgreSQL's SEPostgres extension, also lessen or eliminate the exposure and potential damage from PostgreSQL security vulnerabilities.

PostgreSQLのSEPostgres拡張とSELinuxなど、高度なセキュリティフレームワークの使用も同様に、このような曝露やPostgreSQLのセキュリティ脆弱性からの潜在的な損害を低減または除去します。


以降は原文をご覧ください。
Posted by at
Labels: ,

0 件のコメント:

コメントを投稿

登録: コメントの投稿 (Atom)