Byly vytvořeny opravy pro všechny podporované větve PostgreSQL: 14.1, 13.5, 12.9, 11.14, 10.19 a 9.6.24. Verze 9.6.24 bude poslední aktualizací pro větev 9.6, jejíž podpora byla ukončena. Opravy pro větev 10 budou vytvořeny do listopadu 2022, 11 do listopadu 2023, 12 do listopadu 2024, 13 do listopadu 2025, 14 do listopadu 2026.
Nové verze obsahují více než 40 oprav a odstranily dvě zranitelnosti (CVE-2021-23214, CVE-2021-23222) v serverovém procesu a klientské knihovně libpq. Zranitelnosti umožňují útočníkovi vniknout do šifrovaného komunikačního kanálu prostřednictvím provedení útoku MITM. Útok nevyžaduje platný SSL-certifikát a může být proveden proti systémům, které vyžadují autentizaci klienta pomocí certifikátu. V kontextu serveru útok umožňuje nahradit SQL dotaz v okamžiku, kdy je navazováno šifrované spojení klienta se serverem PostgreSQL. V kontextu libpq zranitelnost umožňuje útočníkovi vrátit klientovi falešnou odpověď serveru. V kombinaci mohou zranitelnosti umožnit získání informací o heslech nebo jiných důvěrných údajích klienta, které jsou přenášeny na počátku spojení.
Dále lze zmínit vydání nové verze proxy serveru Odyssey 1.2 společností Yandex, určené k udržování poolu otevřených spojení k databázovému systému PostgreSQL a organizaci směrování dotazů. Odyssey podporuje spuštění několika pracovních procesů s vícethreadovými zpracovateli a kromě toho serveru při opětovném spojení klienta, možnost svázání poolů spojení s uživateli a databázemi. Kód je napsán v jazyce C a je distribuován pod licencí BSD.
Nová verze Odyssey přidala ochranu proti nahrazování dat po vyjednávání SSL relace (blokuje útoky za použití výše uvedených zranitelností CVE-2021-23214 a CVE-2021-23222). Byla implementována podpora PAM a LDAP. Přidána integrace se systémem sledování Prometheus. Bylo vylepšeno výpočtování statistických parametrů pro záznam doby trvání transakcí a dotazů.
Zdroj: opennet.ru
