Актуализация на PostgreSQL с премахване на уязвимости

Създадени са коригиращи актуализации за всички поддържани версии на PostgreSQL: 13.3, 12.7, 11.12, 10.17 и 9.6.22. Актуализациите за версия 9.6 ще бъдат предоставяни до ноември 2021 година, за 10 — до ноември 2022 година, за 11 — до ноември 2023 година, за 12 — до ноември 2024 година, а за 13 до ноември 2025 година. В новите версии са отстранени три уязвимости и поправени натрупаните грешки.

Уязвимостта CVE-2021-32027 може да доведе до запис на данни извън границите на буфера поради целочислено препълване при изчисления на индексите на масивите. Чрез манипулация на стойностите на масивите в SQL заявки, атакуващ, който има достъп до изпълнение на SQL запити, може да запише произволни данни в произволна област от паметта на процеса и да постигне изпълнение на своя код с права. сървър СУБД. Две други уязвимости (CVE-2021-32028, CVE-2021-32029) водят до теч на съдържание от паметта на процеса при манипулация с заявки "INSERT ... ON CONFLICT ... DO UPDATE" и "UPDATE ... RETURNING".

Отнесените към корекции, несвързани с уязвимости, можем да подчертаем:

• Отстраняване на неправилни изчисления при изпълнение на "UPDATE ... RETURNING" за обновяване на обединени сегментиране таблици.
• Отстраняване на срив на командата "ALTER TABLE ... ALTER CONSTRAINT" при наличие на ограничения за външни ключове в комбинация с използване на сегментиране таблици.
• Наладнена е работата на функционалността "COMMIT AND CHAIN".
• За новите версии на FreeBSD е осигурено по подразбиране задаване на режим fdatasync в thatwal_sync_method.
• Деактивиран е по подразбиране параметърът vacuum_cleanup_index_scale_factor.
• Поправени са течовете на паметта, проявяващи се при инициализация на TLS съединения.
• В pg_upgrade са добавени допълнителни проверки за наличието на типове данни в потребителските таблици, които не подлежат на обновление.

Източник: opennet.ru