| CVE編號 | CVE-2017-12172 CVE-2017-15097 |
|---|---|
| 解決辦法 | 官方已發布更新，連結為https://access.redhat.com/errata/RHSA-2017:3402 ，選擇Updated Packages頁籤。 |
| 張貼日 | 2017-12-18 |
| 上稿單位 | TWCERT/CC |
●概述：
Red Hat Enterprise Linux 7系列作業系統存在共同弱點，本機駭客探勘PostgreSQL初始化script之Race condition漏洞，直接擴權至root，取得完整控制權，Red Hat就各版軟體提供相應安全更新。
●編註：
PostgreSQL是自由的進階型物件關聯式資料庫管理系統(database management system，DBMS)，本次影響範圍在Red Hat Enterprise Linux 7系列OS，囿於PostgreSQL之初始化腳本出現競爭狀態(Race condition)漏洞，衍生多項procedure搶著輸出造成秩序無規律性，該瑕疵使本機使用者只要具備postgres操作權限，利用安裝PostgreSQL初始化階段，獲得Root權限，而恣意對硬體server硬體下達指令，修補原理即為將安裝script的權限從root群組拿掉，限制postgres用戶僅能寫入到預設安裝路徑(例：/var/lib/pgsql)。
影響產品：
Enterprise Linux Server 7 x86_64、Extended Update Support 7.4 x86_64、AUS 7.4 x86_64、TUS 7.4 x86_64
- Enterprise Linux Workstation 7 x86_64
- Enterprise Linux Desktop 7 x86_64
- Enterprise Linux for IBM z Systems 7 s390x、Extended Update Support 7.4 s390x
- Enterprise Linux for Power big endian 7 ppc64、Extended Update Support 7.4 ppc64、97 ppc64le、little endian 7 ppc64le、Extended Update Support 7.4 ppc64le
- Enterprise Linux for Scientific Computing 7 x86_64
- Enterprise Linux EUS Compute Node 7.4 x86_64
- Enterprise Linux for ARM 64 7 aarch64