Mordred Labs et d'autres ont trouvé des vulnérabilités dans PostgreSQL,
un moteur de base de données SQL objet et relationnel. Elles sont basées
sur des dépassements d'entier ou de tampon. Spécialement suspects, les longues
dates et heures, monnaies, données répétées et les noms longs de zone horaire
pouvaient planter le serveur de PostgreSQL ainsi que les données d'entrée de
lpad() et de rpad(). D'autres débordements furent
trouvés dans circle_poly(), path_encode() et path_addr().
Sauf pour ces trois dernières fonctions, ces problèmes sont réglés dans le source original version 7.2.2 de PostgreSQL dont l'utilisation est recommandée.
La plupart de ces soucis n'existe pas dans la version contenue dans potato de Debian vu que les fonctionnalités ne sont pas implantées. Cependant, PostgreSQL 6.5.3 est assez vieux et il peut contenir des risques bien pires et ils pourraient atteindre à l'intégrité de vos données.
Nous vous conseillons de ne plus utiliser cette version et de mettre à jour votre système avec la Debian 3.0 incluant PostgreSQL 7.2.1 à la place, où de nombreux bogues sont corrigés et de nouvelles capacités améliorent la compatibilité avec les standards SQL.
Si vous envisagez une mise à jour, sauvegardez toutes vos bases de données
sur votre système avec l'utilitaire pg_dumpall. Prenez en considération le
fait que cette version plus récente est plus stricte dans sa gestion des
entrées. Ceci signifie que des tests comme "foo = NULL" qui
ne sont pas valides ne seront plus acceptés. Aussi en utilisant l'encodage
UNICODE, ceux ISO 8859-1 et ISO 8859-15 ne sont plus valides pour les
relations. Vous devez donc convertir l'image sauvegardée en utilisant
recode latin1..utf-16.
Ces problèmes sont corrigés dans la version 7.2.1-2woody2 pour l'actuelle distribution stable (woody) et celle 7.2.2-2 pour la distribution instable (sid). L'ancienne distribution stable (potato) n'est que partiellement affecté et nous offrons une version 6.5.3-27.2 corrigée de ce paquet.
Nous vous recommandons de mettre à jour vos paquets PostgreSQL.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.