PostgreSQL 中客户端使用服务器错误消息，允许在当前 SSL 或 GSS 设置下不受信任的服务器向 libpq 应用程序提供任意非 NULL 字节。例如，中间人攻击者可以发送一条长错误消息，psql 的人工用户或屏幕抓取器用户会将其误认为是有效的查询结果。对于用户界面明确指示错误消息与其他文本之间界限的客户端来说，这可能不是一个问题。PostgreSQL 17.1、16.5、15.9、14.14、13.17 和 12.21 之前的版本受到影响。
PostgreSQL 项目感谢 Jacob Champion 报告此问题。
| 受影响版本 | 已修复版本 | 修复发布日期 |
|---|---|---|
| 17 | 17.1 | 2024 年 11 月 14 日 |
| 16 | 16.5 | 2024 年 11 月 14 日 |
| 15 | 15.9 | 2024 年 11 月 14 日 |
| 14 | 14.14 | 2024 年 11 月 14 日 |
| 13 | 13.17 | 2024 年 11 月 14 日 |
| 12 | 12.21 | 2024 年 11 月 14 日 |
有关 PostgreSQL 版本信息 的更多信息，请访问 版本信息页面。
| 总体得分 | 3.1 |
|---|---|
| 组件 | 客户端 |
| 向量 | AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N |
如果您希望报告 PostgreSQL 中的新安全漏洞，请发送电子邮件至 security@postgresql.org。
如需报告非安全相关错误，请参阅 报告错误 页面。