Създадени са коригиращи актуализации за всички поддържани версии на PostgreSQL: 14.1, 13.5, 12.9, 11.14, 10.19 и 9.6.24. Изданието 9.6.24 ще бъде последната актуализация за версия 9.6, чиято поддръжка спира. Актуализациите за версия 10 ще се подготвят до ноември 2022 г., за 11 — до ноември 2023 г., за 12 — до ноември 2024 г., за 13 — до ноември 2025 г., а за 14 — до ноември 2026 г.
В новите версии са предложени над 40 корекции и са известни две уязвимости (CVE-2021-23214, CVE-2021-23222) в сървърния процес и клиентската библиотека libpq. Уязвимостите позволяват на атакуващия да се намеси в криптирания комуникационен канал чрез извършване на MITM-атака. Атаката не изисква наличието на валиден SSL-сертификат и може да бъде проведена срещу системи, изискващи удостоверяване на клиента чрез сертификат. В контекста на сървъра атаката позволява подмяна на SQL заявка в момента на установяване на криптирано свързване между клиента и сървъра на PostgreSQL. В контекста на libpq уязвимостта позволява на атакуващия да върне на клиента фалшив отговор от сървъра. В комбинация, уязвимостите позволяват извличане на информация за паролата или други конфиденциални данни на клиента, предавани в ранния етап на свързването.
Допълнително, компания Yandex публикува нова версия на прокси-сървъра Odyssey 1.2, предназначен за поддържане на пул от отворени връзки към базата данни PostgreSQL и организиране на маршрутизация на заявки. Odyssey поддържа стартиране на няколко работни процеса с многопоточни обработвачи, както и сървъра възможност за привързване на пуловете от връзки към потребители и БД. Кодът е написан на C и се разпространява под лиценз BSD.
В новата версия Odyssey е добавена защита за блокиране на заместването на данни след установяване на SSL сесия (позволява блокиране на атаките с използване на посочените уязвимости CVE-2021-23214 и CVE-2021-23222). Реализирана е поддръжка на PAM и LDAP. Добавена е интеграция със системата за мониторинг Prometheus. Подобрено е изчисляването на параметрите на статистиката за отчитане на времето за изпълнение на транзакции и заявки.
Източник: opennet.ru
