Актуализация на PostgreSQL 11.4, 10.9, 9.6.14, 9.5.18 и 9.4.23

Създадени коригиращи актуализации за всички поддържани версии на PostgreSQL: 11.4, 10.9, 9.6.14, 9.5.18 и 9.4.23. Издаване на актуализации за версия 9.4 ще продължи до декември 2019 г., 9.5 до януари 2021 г., 9.6 — до септември 2021 г., 10 — до октомври 2022 г., 11 — до ноември 2023 г.

В новите версии са коригирани 25 грешки и е отстранена уязвимост (CVE-2019-10164), която може да доведе до препълване на буфера, когато потребителят променя паролата си. Чрез посочената уязвимост, местен нападател с достъп до PostgreSQL може да изпълни свой код с права на потребителя, под който работи СУБД, като настрои много дълга парола. Освен това, уязвимостта може да бъде експлоатирана на страната на потребителя по време на аутентификацията със SCRAM на клиент, базиран на libpq, когато потребителят се свързва с PostgreSQL сървър, контролирани от нападател. Проблемът се проявява в версиите PostgreSQL 10, 11 и 12-beta.

Източник: opennet.ru