Актуализация на PostgreSQL с отстраняване на уязвимост

Създадени са коригиращи актуализации за всички поддържани клонове на PostgreSQL: 13.4, 12.8, 11.13, 10.18 и 9.6.23. Актуализации за клон 9.6 ще се извършват до ноември 2021 година, 10 — до ноември 2022 година, 11 — до ноември 2023 година, 12 — до ноември 2024 година, 13 до ноември 2025 година.

В новите версии са предложени 75 корекции и е отстранена уязвимост CVE-2021-3677, която позволява чрез изпълнение на специално формулиран запитване да се прочете съдържанието на паметта на сървърния процес. Атаката може да бъде извършена от всеки потребител, който има достъп за изпълнение на SQL запитвания. Проблемът засяга само клоновете на PostgreSQL 11, 12 и 13. Известни варианти на атаки не засягат конфигурации с настройка max_worker_processes=0, но не е изключено съществуването на варианти, независимо от тази настройка.

Източник: opennet.ru