Mordred Labs og andre har fundet flere sårbarheder i PostgreSQL, en objektrelations-SQL-database. Sårbarhederne stammer fra flere bufferoverløb og heltalsoverløb. Specielt fremstillede lange dato- og klokkesletsinddata, beløb, gentagne data og lange tidszonenavne kunne få PostgreSQL-serveren til at gå ned, det samme gælder specielt fremstillede inddata til lpad() og rpad(). Flere buffer-/heltalsoverløb blev fundet i circle_poly(), path_encode() og path_addr().
Bortset fra de sidste tre, er disse problemer rettet i opstrøms version 7.2.2 af PostgreSQL, som er den version det anbefales at bruge.
De fleste af disse problemer findes ikke den den version af PostgreSQL som Debian leverer i potato-udgaven, da den tilsvarende funktionalitet ikke er implementeret. Men PostgreSQL 6.5.3 er ganske gammel og kan indeholde flere risici end vi er bekendt med, hvilket kan være flere bufferoverløb, og helt sikkert fejl der kan true de datas integritet.
Vi anbefaler kraftigt at du ikke bruger den udgave, men i stedet opgraderer dit system til Debian 3.0 (stable) inklusive PostgreSQL version 7.2.1, hvor mange fejl er rettet og nye funktioner tilføjet, for at øge kompatibiliteten med SQL-standarderne.
Hvis du overvejer at opgradere, så sørg for at dump'e hele databasesystemet ved hjælp af værktøjet pg_dumpall. Vær opmærksom på at nyere udgaver af PostgreSQL håndterer sine inddata mere strikst. Dette betyder at tests som "foo = NULL" som ikke er korrekt, ikke længere vil blive accepteret. Det betyder også at når man anvender UNICODE-indkapsling, er ISO 8859-1 og ISO 8859-15 ikke længere lovlige indkapslinger ved tilføjelse af data til en relation. I sådanne tilfælde anbefales det at konvertere det pågældende dump ved hjælp af recode latin1..utf-16.
Disse problemer er rettet i version 7.2.1-2woody2 i den aktuelle stabile distribution (woody) og i version 7.2.2-2 i den ustabile distribution (sid). Den gamle stabile distribution (potato) er delvist påvirket og vi leverer en rettet version 6.5.3-27.2 til den.
Vi anbefaler at du opgraderer dine PostgreSQL-pakker.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.