Byly vyvinuty opravy pro všechny podporované větve PostgreSQL: 13.3, 12.7, 11.12, 10.17 a 9.6.22. Opravy pro větev 9.6 budou vyvíjeny do listopadu 2021, pro větev 10 do listopadu 2022, pro větev 11 do listopadu 2023, pro větev 12 do listopadu 2024 a pro větev 13 do listopadu 2025. V nových verzích byly odstraněny tři zranitelnosti a opraveny nahromaděné chyby.
Zranitelnost CVE-2021-32027 může vést k přepsání dat mimo hranice bufferu kvůli přetečení celého čísla během výpočtů indexů polí. Pomocí manipulace s hodnotami polí v SQL dotazech může útočník, který má přístup k provádění SQL dotazů, zapisovat libovolná data do libovolné oblasti paměti procesu a dosáhnout provedení svého kódu s právy. serveru DBMS. Dvě další zranitelnosti (CVE-2021-32028, CVE-2021-32029) vedou k úniku obsahu paměti procesu při manipulaci s dotazy „INSERT … ON CONFLICT … DO UPDATE“ a „UPDATE … RETURNING“.
Mezi úpravami, které nesouvisí se zranitelnostmi, lze vyzdvihnout:
- Odstranění nesprávných výpočtů při provádění „UPDATE … RETURNING“ pro aktualizaci sloučených segmentovaných tabulek.
- Oprava havárie příkazu „ALTER TABLE … ALTER CONSTRAINT“ při existenci omezení pro cizí klíče ve spojení s použitím segmentovaných tabulek.
- Byla zprovozněna funkčnost „COMMIT AND CHAIN“.
- Pro nové verze FreeBSD bylo zajištěno nastavení jako výchozí režim fdatasync v thatwal_sync_method.
- Parametr vacuum_cleanup_index_scale_factor byl ve výchozím nastavení vypnut.
- Byly opraveny úniky paměti, které se projevují při inicializaci TLS -spojení.
- Do pg_upgrade byly přidány další kontroly na přítomnost typů dat, které nelze aktualizovat, v uživatelských tabulkách.
Zdroj: opennet.ru
