Heikki Linnakangas

**Nome do Software Vulnerável e Versões Afetadas** Versões 18.0 e 18.1 do PostgreSQL **Descrição** Existe um overflow de buffer heap no componente pg trgm do PostgreSQL. Um usuário do banco de dados pode explorar essa vulnerabilidade com uma string de entrada manipulada, potencialmente levando a impactos desconhecidos, incluindo possível escalonamento de privilégios. O atacante possui controle limitado sobre os dados gravados na memória. **Recomendações** Atualize o PostgreSQL para uma versão superior à 18.1.

**Nome do software vulnerável e versões afetadas** Versões do PostgreSQL anteriores à 13.2 Versões do PostgreSQL anteriores à 12.6 Versões do PostgreSQL anteriores à 11.11 **Descrição** Foi descoberta uma fuga de informações no PostgreSQL. Um usuário com permissão de UPDATE, mas sem permissão de SELECT para uma coluna específica, poderia criar consultas que, em determinadas circunstâncias, poderiam revelar valores dessa coluna em mensagens de erro. Isso poderia permitir que um invasor obtivesse informações armazenadas em uma coluna na qual ele tem permissão para gravar, mas não para ler. **Recomendações** Para versões anteriores à 13.2, atualize para a versão 13.2 ou posterior para resolver o problema. Para versões anteriores à 12.6, atualize para a versão 12.6 ou posterior para resolver o problema. Para versões anteriores à 11.11, atualize para a versão 11.11 ou posterior para resolver o problema.

**Name of the Vulnerable Software and Affected Versions** PostgreSQL versions prior to 9.1.23 PostgreSQL versions 9.2.x prior to 9.2.18 PostgreSQL versions 9.3.x prior to 9.3.14 PostgreSQL versions 9.4.x prior to 9.4.9 PostgreSQL versions 9.5.x prior to 9.5.4 **Description** The issue allows remote authenticated users to cause a denial of service, obtain sensitive memory information, or possibly execute arbitrary code. This can be achieved through a CASE expression within the test value subexpression of another CASE or inlining of an SQL function that implements the equality operator used for a CASE expression involving values of different types. Certain nested CASE/WHEN expressions can also crash the server. **Recommendations** For PostgreSQL versions prior to 9.1.23, update to version 9.1.23 or later. For PostgreSQL versions 9.2.x prior to 9.2.18, update to version 9.2.18 or later. For PostgreSQL versions 9.3.x prior to 9.3.14, update to version 9.3.14 or later. For PostgreSQL versions 9.4.x prior to 9.4.9, update to version 9.4.9 or later. For PostgreSQL versions 9.5.x prior to 9.5.4, update to version 9.5.4 or later. As a temporary workaround, consider avoiding the use of nested CASE/WHEN expressions until a patch is applied.

**Name of the Vulnerable Software and Affected Versions** PostgreSQL versions 8.4.x through 8.4.10 PostgreSQL versions 9.0.x through 9.0.6 PostgreSQL versions 9.1.x through 9.1.2 **Description** The issue allows remote attackers to spoof connections when the host name is exactly 32 characters, due to the truncation of the common name to only 32 characters in SSL certificate verification. This can occur under certain circumstances, particularly when using third-party certificate authorities. **Recommendations** For PostgreSQL versions 8.4.x through 8.4.10, update to version 8.4.11 or later. For PostgreSQL versions 9.0.x through 9.0.6, update to version 9.0.7 or later. For PostgreSQL versions 9.1.x through 9.1.2, update to version 9.1.3 or later.