CVE-2014-0066

Description

The chkpass extension in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 does not properly check the return value of the crypt library function, which allows remote authenticated users to cause a denial of service (NULL pointer dereference and crash) via unspecified vectors.

Scores

Weaknesses (CWE)

• CWE-20

European references

• ENISA EUVD · EUVD-2014-0159
• GCVE · GCVE-0-2014-0066

CERT-FR advisories

• CERTFR-2015-AVI-431 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr
• CERTFR-2014-AVI-436 — Multiples vulnérabilités dans les produits Apple · cert.ssi.gouv.fr
• CERTFR-2014-AVI-393 — Multiples vulnérabilités dans les produits Apple · cert.ssi.gouv.fr
• CERTFR-2014-AVI-357 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr
• CERTFR-2014-AVI-080 — Multiples vulnérabilités dans PostgreSQL · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

• cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:* ≤ 8.4.19
• cpe:2.3:a:postgresql:postgresql:8.4.1:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.2:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.3:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.4:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.5:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.6:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.7:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.8:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.9:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.10:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.11:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.12:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.13:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.14:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.15:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.16:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.17:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:8.4.18:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.1:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.2:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.3:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.4:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.5:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.6:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.7:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.8:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.9:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.10:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.11:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.12:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.13:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.14:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.0.15:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.1:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.1.1:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.1.2:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.1.3:*:*:*:*:*:*:*
• cpe:2.3:a:postgresql:postgresql:9.1.4:*:*:*:*:*:*:*
• +17 more

Affected products

References

• http://rhn.redhat.com/errata/RHSA-2014-0211.html
• http://rhn.redhat.com/errata/RHSA-2014-0221.html
• http://support.apple.com/kb/HT6448
• http://rhn.redhat.com/errata/RHSA-2014-0469.html
• http://archives.neohapsis.com/archives/bugtraq/2014-10/0103.html
• http://wiki.postgresql.org/wiki/20140220securityrelease
• http://www.debian.org/security/2014/dsa-2864
• http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html
• http://rhn.redhat.com/errata/RHSA-2014-0249.html
• http://www.postgresql.org/about/news/1506/
• http://www.ubuntu.com/usn/USN-2120-1
• https://support.apple.com/kb/HT6536
• http://www.debian.org/security/2014/dsa-2865
• http://lists.opensuse.org/opensuse-updates/2014-03/msg00018.html
• http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10705
• http://lists.opensuse.org/opensuse-updates/2014-03/msg00038.html

Sources