Актуализация на PostgreSQL с отстраняване на уязвимости. Релиз на балансировщика на връзки Odyssey 1.2

Коригиращи актуализации са сформирани за всички поддържани версии на PostgreSQL: 14.1, 13.5, 12.9, 11.14, 10.19 и 9.6.24. Версия 9.6.24 ще бъде последната актуализация за версия 9.6, която вече не се поддържа. Актуализациите за версия 10 ще бъдат предоставяни до ноември 2022 година, 11 — до ноември 2023 година, 12 — до ноември 2024 година, 13 — до ноември 2025 година, 14 — до ноември 2026 година.

В новите версии са предложени над 40 корекции и са отстранени две уязвимости (CVE-2021-23214, CVE-2021-23222) в сървърния процес и клиентската библиотека libpq. Уязвимостите позволяват на атакуващия да се вмъкне в криптирания канал за връзка чрез извършване на MITM атака. Атаката не изисква наличието на валиден SSL-сертификат и може да бъде проведена срещу системи, изискващи клиентска аутентификация чрез сертификат. В контекста на сървъра атаката позволява подмяна на SQL заявка по време на установяване на криптираното свързване между клиента и сървъра PostgreSQL. В контекста на libpq уязвимостта позволява на атакуващия да върне на клиента фалшив отговор от сървъра. В комбинация, уязвимостите позволяват извличането на информация за пароли или други поверителни данни на клиента, предавани на ранния етап на връзката.

Допълнително можем да отбележим публикуването от компанията Yandex на новата версия на прокси-сървъра Odyssey 1.2, предназначен за поддържане на пул от отворени връзки към СУБД PostgreSQL и организиране на маршрутизация на запитванията. Odyssey поддържа стартиране на множество работни процеси с многопоточни обработвачи, а също така сървър при повторно свързване на клиента, възможността за свързване на пулове от връзки към потребители и БД. Кодът е написан на C и се разпространява под лиценз BSD.

В новата версия на Odyssey е добавена защита за блокиране на подмяната на данни след установяване на SSL сесия (позволява блокиране на атаки с използване на споменатите уязвимости CVE-2021-23214 и CVE-2021-23222). Реализирана е поддръжка за PAM и LDAP. Добавена е интеграция със система за мониторинг Prometheus. Подобрено е изчисляването на параметрите за статистика, за да се отчетат времето на изпълнение на транзакции и запитвания.

Източник: opennet.ru