PostgreSQLの複数脆弱性を修復するアップデートが公開 - JPCERT/CCレポート

• 

  PostgreSQL 17.6, 16.10, 15.14, 14.19, 13.22, and 18 Beta 3 Released!

8月14日にリリースされたPostgreSQL 17.6、16.10、15.14、14.19、13.22、18 Beta 3では、CVE-2025-8713(スコア3.1)、CVE-2025-8714(スコア8.8)、CVE-2025-8715(スコア8.8)各脆弱性の修正が実施された。

CVE-2025-8713は、オプティマイザの統計情報からアクセス制限されたデータの断片が漏洩する可能性があるという脆弱性。オプティマイザは、データ取得の際の処理速度やメモリの効率化を行えるもので近年の主要なRDBMS(リレーショナルデータベース管理システム）に備わっている機能だ。

CVE-2025-8714は、pg_dumpなどのバックアップコマンドで作成されるダンプファイルに不正なコマンドを埋め込むことでリストア時に任意のコードを実行される可能性があるという脆弱性。プレーン形式のダンプファイルは、SQLスクリプトがそのまま出力されるシンプルな形式であるため悪意あるスーパーユーザーがリストアを実行するクライアント端末を対象にコードを実行できる。CVSSスコア8.8の高危険度に分類されている。同様にCVE-2025-8715ではpg_dump等のリストアツールの修正を図っている。

ほか、Seagate Toolkitに引用符で囲まれていない検索パスの脆弱性(JVN#89385114)、Intel製品に複数の脆弱性（2025年8月）(JVNVU#90372902)など。各種詳細はWeekly Report 2025-08-20号からリンクで辿れるようになっている。