Der er blevet udarbejdet rettende opdateringer til alle understøttede grene af PostgreSQL: 14.1, 13.5, 12.9, 11.14, 10.19 og 9.6.24. Udgaven 9.6.24 vil være den sidste opdatering til version 9.6, hvis support ophører. Opdateringer til version 10 vil blive udarbejdet indtil november 2022, version 11 indtil november 2023, version 12 indtil november 2024, version 13 indtil november 2025 og version 14 indtil november 2026.
De nye versioner omfatter mere end 40 rettelser og to sårbarheder (CVE-2021-23214, CVE-2021-23222) i serverprocessen og klientbiblioteket libpq. Sårbarhederne tillader en angriber at trænge ind i den krypterede kommunikationskanal gennem en MITM-angreb. Angrebet kræver ikke en korrekt -certifikat og kan gennemføres mod systemer, der kræver klientautentifikation via certifikat. SSLI serverens kontekst muliggør angrebet indsættelse af sin egen SQL-forespørgsel på tidspunktet for etablering af den krypterede forbindelse mellem klienten og PostgreSQL-serveren. I konteksten af libpq giver sårbarheden angriberen mulighed for at returnere et falsk svar fra serveren til klienten. Kombinationen af sårbarhederne kan tillade udtrækning af oplysninger om adgangskoder eller andre fortrolige oplysninger fra klienten, der overføres i begyndelsen af forbindelsen.
Derudover kan det bemærkes, at Yandex har offentliggjort en ny version af proxy-serveren Odyssey 1.2, der er designet til at opretholde en pulje af åbne forbindelser til PostgreSQL-databaser og organisere ruteplanlægning af forespørgsler. Odyssey understøtter kørsel af flere arbejdsprocesser med multitrådede behandlere, samt forbindelser til klienten. server Der er mulighed for at binde forbindelsespuljer til brugere og databaser. Koden er skrevet i C og distribueres under BSD-licensen.
I den nye version af Odyssey er der tilføjet beskyttelse mod dataindsættelse efter en SSL-session er etableret (muliggør blokering af angreb ved hjælp af de tidligere nævnte sårbarheder CVE-2021-23214 og CVE-2021-23222). Der er implementeret understøttelse af PAM og LDAP. Systemet kan nu integreres med overvågningssystemet Prometheus. Beregningen af statistiske parametre for at tage højde for varigheden af transaktioner og forespørgsler er forbedret.
Kilde: opennet.ru
