CVE-2017-7485

描述

In PostgreSQL 9.3.x before 9.3.17, 9.4.x before 9.4.12, 9.5.x before 9.5.7, and 9.6.x before 9.6.3, it was found that the PGREQUIRESSL environment variable was no longer enforcing a SSL/TLS connection to a PostgreSQL server. An active Man-in-the-Middle attacker could use this flaw to strip the SSL/TLS protection from a connection between a client and a server.

如何修補 CVE-2017-7485

要修補 CVE-2017-7485,請將受影響套件升級到下列已修補版本。

• Alpine/postgresql—升級至 9.6.3-r0 或更新版本
• —升級至 9.6.3-r0 或更新版本
• —升級至 9.6.3-r0 或更新版本

CVE-2017-7485 正在被利用嗎?

低 — EPSS 為 2.0%,目前沒有觀察到大規模利用活動。

受影響套件(3)

• from 0, < 9.6.3-r0
• from 0, < 9.6.3-r0
• from 0, < 9.6.3-r0

CVSS 分數

參考連結(1)

• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2017-7485