Актуализиране на PostgreSQL 11.4, 10.9, 9.6.14, 9.5.18 и 9.4.23

Оформен коригиращи актуализации за всички поддържани клонове на PostgreSQL: 11.4, 10.9, 9.6.14, 9.5.18 и 9.4.23. Издаване на актуализации за клон 9.4 ще остане до декември 2019 г., 9.5 до януари 2021 г., 9.6 до септември 2021 г., 10 до октомври 2022 г., 11 до ноември 2023 г.

Новите версии коригират 25 грешки и елиминират уязвимост (CVE-2019-10164), която може да доведе до препълване на буфера, когато потребител промени паролата си. Използвайки тази уязвимост, локален нападател с достъп до PostgreSQL може, като зададе много дълга парола, да организира изпълнението на своя код с правата на потребителя, под който работи СУБД. В допълнение, уязвимостта може да бъде използвана от страна на потребителя по време на процеса на клиент, базиран на libpq, преминаващ удостоверяване на SCRAM, когато потребителят има достъп до PostgreSQL сървър, контролиран от нападател. Проблемът се появява в клоновете на PostgreSQL 10, 11 и 12-бета.

Източник: opennet.ru