Актуализация на PostgreSQL за премахване на уязвимост

Създадени са коригиращи актуализации за всички поддържани версии на PostgreSQL: 13.4, 12.8, 11.13, 10.18 и 9.6.23. Актуализациите за версия 9.6 ще се генерират до ноември 2021 година, за 10 — до ноември 2022 година, за 11 — до ноември 2023 година, за 12 — до ноември 2024 година, а за 13 — до ноември 2025 година.

В новите версии са предложени 75 поправки и е отстранена уязвимост CVE-2021-3677, която позволява чрез изпълнение на специално оформен SQL заявка да се прочете съдържанието на паметта на сървърния процес. Атаката може да бъде извършена от всеки потребител, който има достъп за изпълнение на SQL заявки. Проблемът засяга само версиите на PostgreSQL 11, 12 и 13. Известните варианти на атаките не засягат конфигурации с настройка max_worker_processes=0, но не е изключено съществуването на варианти, които не зависят от тази настройка.

Източник: opennet.ru