[DONE] wml://security/2014/dsa-2864.wml
Cheers!
Lev Lamberov
--- english/security/2014/dsa-2864.wml 2014-02-20 22:48:59.000000000 +0100
+++ russian/security/2014/dsa-2864.wml 2014-02-21 00:44:41.648031815 +0100
@@ -1,93 +1,95 @@
-<define-tag description>several vulnerabilities</define-tag>
+#use wml::debian::translation-check translation="1.1" maintainer="Lev Lamberov"
+<define-tag description>несколько уязвимостей</define-tag>
<define-tag moreinfo>
-<p>Various vulnerabilities were discovered in PostgreSQL:</p>
+<p>В PostgreSQL были обнаружены различные уязвимости:</p>
<ul>
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0060";>CVE-2014-0060</a> Shore up GRANT ... WITH ADMIN OPTION restrictions (Noah Misch)
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0060";>CVE-2014-0060</a> Поддержка ограничений GRANT ... WITH ADMIN OPTION (Ноа Миш)
- <p>Granting a role without ADMIN OPTION is supposed to prevent the grantee
- from adding or removing members from the granted role, but this
- restriction was easily bypassed by doing SET ROLE first. The security
- impact is mostly that a role member can revoke the access of others,
- contrary to the wishes of his grantor. Unapproved role member additions
- are a lesser concern, since an uncooperative role member could provide
- most of his rights to others anyway by creating views or SECURITY
- DEFINER functions.</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0061";>CVE-2014-0061</a>Prevent privilege escalation via manual calls to PL validator functions (Andres Freund)
-
- <p>The primary role of PL validator functions is to be called implicitly
- during CREATE FUNCTION, but they are also normal SQL functions that a
- user can call explicitly. Calling a validator on a function actually
- written in some other language was not checked for and could be
- exploited for privilege-escalation purposes. The fix involves adding a
- call to a privilege-checking function in each validator function.
- Non-core procedural languages will also need to make this change to
- their own validator functions, if any.</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0062";>CVE-2014-0062</a>Avoid multiple name lookups during table and index DDL (Robert Haas, Andres Freund)
-
- <p>If the name lookups come to different conclusions due to concurrent
- activity, we might perform some parts of the DDL on a different table
- than other parts. At least in the case of CREATE INDEX, this can be used
- to cause the permissions checks to be performed against a different
- table than the index creation, allowing for a privilege escalation
- attack.</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0063";>CVE-2014-0063</a>Prevent buffer overrun with long datetime strings (Noah Misch)
-
- <p>The MAXDATELEN constant was too small for the longest possible value of
- type interval, allowing a buffer overrun in interval_out(). Although the
- datetime input functions were more careful about avoiding buffer
- overrun, the limit was short enough to cause them to reject some valid
- inputs, such as input containing a very long timezone name. The ecpg
- library contained these vulnerabilities along with some of its own.</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0064";>CVE-2014-0064</a>Prevent buffer overrun due to integer overflow in size calculations (Noah Misch, Heikki Linnakangas)
-
- <p>Several functions, mostly type input functions, calculated an allocation
- size without checking for overflow. If overflow did occur, a too-small
- buffer would be allocated and then written past.</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0065";>CVE-2014-0065</a>Prevent overruns of fixed-size buffers (Peter Eisentraut, Jozef Mlich)
-
- <p>Use strlcpy() and related functions to provide a clear guarantee that
- fixed-size buffers are not overrun. Unlike the preceding items, it is
- unclear whether these cases really represent live issues, since in most
- cases there appear to be previous constraints on the size of the input
- string. Nonetheless it seems prudent to silence all Coverity warnings of
- this type.</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0066";>CVE-2014-0066</a>Avoid crashing if crypt() returns NULL (Honza Horak, Bruce Momjian)
-
- <p>There are relatively few scenarios in which crypt() could return NULL,
- but contrib/chkpass would crash if it did. One practical case in which
- this could be an issue is if libc is configured to refuse to execute
- unapproved hashing algorithms (e.g., <q>FIPS mode</q>).</p></li>
-
- <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0067";>CVE-2014-0067</a>Document risks of make check in the regression testing instructions
- (Noah Misch, Tom Lane)
-
- <p>Since the temporary server started by make check uses <q>trust</q>
- authentication, another user on the same machine could connect to it as
- database superuser, and then potentially exploit the privileges of the
- operating-system user who started the tests. A future release will
- probably incorporate changes in the testing procedure to prevent this
- risk, but some public discussion is needed first. So for the moment,
- just warn people against using make check when there are untrusted users
- on the same machine.</p></li>
+ <p>Предполагается, что предоставление роли без ADMIN OPTION не должно давать получателю этой роли
+ возможность добавления или удаления членов из предоставляемой ему роли, но это
+ ограничение легко можно обойти, выполнив сначала SET ROLE. Влияние этого на безопасность
+ состоит по большей части в том, что член роли может отозвать доступ у других членов,
+ что не соответствует желаниям того, кто ему эту роль предоставил. Неподтверждённые добавления членов роли
+ вызывают меньшее беспокойство, поскольку внешний член роли всё равно может предоставить
+ большую часть своих прав другим, создавая представления или функции SECURITY
+ DEFINER.</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0061";>CVE-2014-0061</a>Предотвращение повышения привилегий через вызовы функций проверки PL вручную (Андреас Фрёнд)
+
+ <p>Первичная роль функций проверки PL состоит в том, чтобы они вызывались незаметно во
+ время CREATE FUNCTION, но они также являются обычными функциями SQL, которые
+ пользователь может вызвать явным образом. Вызов проверки функции, фактически
+ написанной на каком-либо другом языке, не проверяется и может использоваться
+ с целью повышения привилегий. Исправление этого включает добавление
+ вызова функции проверки привилегий в каждую функцию проверки.
+ Сторонним процедурным языка также потребуется изменить
+ их собственные функции проверки, если таковые имеются.</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0062";>CVE-2014-0062</a>Отмена многочисленных запросов поиска по имени во время DDL таблицы и индекса (Роберт Хаас, Андреас Фрёнд)
+
+ <p>Если несколько запросов поиска по имени завершается с разными результатами из-за параллельной
+ работы, мы можем выполнить некоторые части DDL на другой таблице,
+ но не все. По меньшей мере, в случае CREATE INDEX это может использоваться
+ для того, чтобы запустить проверки прав доступа относительно другой
+ таблицы, а не для создания индекса, что позволяет осуществлять атаку с целью повышения
+ привилегий.</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0063";>CVE-2014-0063</a>Предотвращение переполнения буфера с длинными строками дат и времени (Ноа Миш)
+
+ <p>Константа MAXDATELEN была слишком мала для наиболее длинного значения
+ типового интервала, что приводило к переполнению буфера в interval_out(). Хотя
+ ввод функций даты и времени менее подвержен переполнению
+ буфера, буфер был ограничен таким образом, что некоторые корректные варианты ввода отвергались
+ как некорректные, напр. ввод, содержащий очень длинное имя временной зоны. Библиотека ecpg
+ содержала данные уязвимости, а также некоторые другие проблемы.</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0064";>CVE-2014-0064</a>Предотвращение переполнения буфера из-за переполнения целых чисел при вычислении размера (Ноа Миш, Хайки Линнакангас)
+
+ <p>Некоторые функции, по большей части функции типового ввода, вычисляли размер выделения
+ памяти без осуществления проверки переполнения. Если возникало переполнение, мог быть выделен слишком маленький
+ буфер, а затем записан прошлый буфер.</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0065";>CVE-2014-0065</a>Предотвращение переполнения буферов с фиксированным размером (Питер Эйзентраут, Йозеф Млих)
+
+ <p>Используйте strlcpy() и связанные функции для предоставления очевидной гарантии, что
+ буферы с фиксированным размером не переполнены. В отличии от предшествующих пунктов, не
+ ясно, соответствуют эти случаи фактическим проблемам или нет, поскольку в большинстве
+ случаев встречались предыдущие ограничения размера вводных
+ строк. Тем не менее, кажется полезным исправить все предупреждения Coverity о
+ проблемах данного типа.</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0066";>CVE-2014-0066</a>Предотвращение аварийного завершения в случае, если crypt() возвращает NULL (Хонца Хорак, Брюс Момджан)
+
+ <p>Существует относительно немного сценариев, в которых crypt() может возвратить NULL,
+ но contrib/chkpass может аварийно завершить работу, если таковое произойдёт. На практике это может
+ произойти в случае, если библиотека libc была настроена так, чтобы отклонать выполнение
+ неутверждённых алгоритмов хэширования (напр., <q>режима FIPS</q>).</p></li>
+
+ <li><a href="http://security-tracker.debian.org/tracker/CVE-2014-0067";>CVE-2014-0067</a>Документирование рисков проверки инструкций тестирования на регрессии
+ (Ноа Миш, Том Лэйн)
+
+ <p>Поскольку временный сервер запускаемый при помощи проверки, использует авторизацию
+ <q>trust</q>, другой пользователь на той же самой машине может подключиться к ней от лица
+ администратора базы данных и потенциально использовать привилегии
+ пользователя операционной системы, запустившего проверки. В будущий выпуск
+ будут скорее всего внесены изменения в процедуру тестирования для предотвращения этого
+ риска, но сначала требуется публичное обсуждение. Поэтому пока просто
+ предупредите людей, чтобы они не выполняли проверки, если на той же самой машине
+ имеются недоверенные пользователи.</p></li>
</ul>
-<p>For the oldstable distribution (squeeze), these problems have been fixed in
-version 8.4.20-0squeeze1.</p>
+<p>В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в
+версии 8.4.20-0squeeze1.</p>
-<p>For the unstable distribution (sid), these problems have been fixed in
-version 9.3.3-1 of the postgresql-9.3 package.</p>
+<p>В нестабильном выпуске (sid) эти проблемы были исправлены в
+версии 9.3.3-1 пакета postgresql-9.3.</p>
-<p>We recommend that you upgrade your postgresql-8.4 packages.</p>
+<p>Рекомендуется обновить пакеты postgresql-8.4.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2014/dsa-2864.data"
# $Id: dsa-2864.wml,v 1.1 2014/02/20 21:48:59 spaillard Exp $
+
Reply to: