Korrektive opdateringer er dannet for alle understøttede PostgreSQL-versioner: 13.3, 12.7, 11.12, 10.17 og 9.6.22. Opdateringer for version 9.6 vil blive dannet indtil november 2021, for 10 indtil november 2022, for 11 indtil november 2023, for 12 indtil november 2024, og for 13 indtil november 2025. De nye udgivelser løser tre sårbarheder og rettet akkumulerede fejl.
Sårbarheden CVE-2021-32027 kan føre til, at data skrives uden for bufferen på grund af heltalsoverskridelse ved beregning af indeks for arrays. Gennem manipulation af array-værdier i SQL-forespørgsler kan en angriber med adgang til at udføre SQL-forespørgsler skrive enhver data til et vilkårligt område af processens hukommelse og få sin kode udført med rettigheder. server DBMS. To andre sårbarheder (CVE-2021-32028, CVE-2021-32029) fører til lækage af indholdet fra processens hukommelse ved manipulation med forespørgsler som "INSERT … ON CONFLICT … DO UPDATE" og "UPDATE … RETURNING".
Blandt de ikke-svækkende rettelser kan følgende fremhæves:
- Løsning af forkert beregning ved udførelse af "UPDATE … RETURNING" for opdatering af sammenkoblede segmenterede tabeller.
- Løsning af fejlen i kommandoen "ALTER TABLE … ALTER CONSTRAINT" i tilfælde af, at der er begrænsninger for fremmede nøgler i kombination med brugen af segmenterede tabeller.
- Funktionaliteten "COMMIT AND CHAIN" er genbrugt.
- For de nye udgivelser af FreeBSD er standardindstillingen for fdatasync-mode i thatwal_sync_method blevet fastsat.
- Parameteren vacuum_cleanup_index_scale_factor er deaktiveret som standard.
- Hukommelseslækager, der opstår ved initialisering af TLS-forbindelser, er blevet rettet.
- I pg_upgrade er der tilføjet yderligere kontroller for eksistensen af datatyper i brugerdefinerede tabeller, der ikke kan opgraderes.
Kilde: opennet.ru
