Έχουν δημιουργηθεί διορθωτικές ενημερώσεις για όλους τους υποστηριζόμενους κλάδους PostgreSQL: 14.3, 13.7, 12.11, 11.16 και 10.22. Ο κλάδος 10.x πλησιάζει στο τέλος της υποστήριξης (οι ενημερώσεις θα δημιουργηθούν έως τον Νοέμβριο του 2022). Η κυκλοφορία των ενημερώσεων για τον κλάδο 11.x θα διαρκέσει έως τον Νοέμβριο του 2023, 12.x έως τον Νοέμβριο του 2024, 13.x έως τον Νοέμβριο του 2025, 14.x έως τον Νοέμβριο του 2026.
Οι νέες εκδόσεις προσφέρουν περισσότερες από 50 επιδιορθώσεις και εξαλείφουν την ευπάθεια CVE-2022-1552 που σχετίζεται με τη δυνατότητα παράκαμψης της απομόνωσης της εκτέλεσης προνομιακών λειτουργιών Autovacuum, REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, CLUSTER και pg_amcheck. Ένας εισβολέας με την εξουσία να δημιουργεί μη προσωρινά αντικείμενα σε οποιοδήποτε σχήμα αποθήκευσης μπορεί να προκαλέσει την εκτέλεση αυθαίρετων συναρτήσεων SQL με δικαιώματα ρίζας ενώ ένας προνομιούχος χρήστης εκτελεί τις παραπάνω λειτουργίες που επηρεάζουν το αντικείμενο του εισβολέα. Συγκεκριμένα, η εκμετάλλευση της ευπάθειας μπορεί να συμβεί κατά τον αυτόματο καθαρισμό της βάσης δεδομένων όταν εκτελείται ο χειριστής autovacuum.
Εάν η ενημέρωση δεν είναι δυνατή, η λύση για τον αποκλεισμό του προβλήματος είναι να απενεργοποιήσετε το autovacuum και να μην εκτελέσετε τις λειτουργίες REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW και CLUSTER ως χρήστης root και να μην εκτελέσετε το pg_amcheck ή να επαναφέρετε περιεχόμενο από ένα αντίγραφο ασφαλείας που δημιουργήθηκε από το pg_dump . Η εκτέλεση του VACUUM θεωρείται ασφαλής, όπως και κάθε λειτουργία εντολής, εφόσον τα αντικείμενα που υποβάλλονται σε επεξεργασία ανήκουν σε αξιόπιστους χρήστες.
Άλλες αλλαγές στις νέες εκδόσεις περιλαμβάνουν την ενημέρωση του κώδικα JIT για να λειτουργεί με το LLVM 14, επιτρέποντας τη χρήση προτύπων database.schema.table στα βοηθητικά προγράμματα psql, pg_dump και pg_amcheck, επιδιόρθωση προβλημάτων που οδηγούν σε καταστροφή των ευρετηρίων GiST σε στήλες ltree, λανθασμένη στρογγυλοποίηση τιμών στην εποχή μορφής που εξάγεται από δεδομένα διαστήματος, λανθασμένη λειτουργία χρονοπρογραμματιστή κατά τη χρήση ασύγχρονων απομακρυσμένων ερωτημάτων, εσφαλμένη ταξινόμηση σειρών πίνακα κατά τη χρήση της έκφρασης CLUSTER σε ευρετήρια με κλειδιά που βασίζονται σε εκφράσεις, απώλεια δεδομένων λόγω μη φυσιολογικού τερματισμού αμέσως μετά κατασκευή ταξινομημένου ευρετηρίου GiST, αδιέξοδο κατά τη διαγραφή κατατμημένου ευρετηρίου, συνθήκη αγώνα μεταξύ της λειτουργίας DROP TABLESPACE και του σημείου ελέγχου.
Επιπλέον, μπορούμε να σημειώσουμε την κυκλοφορία της επέκτασης pg_ivm 1.0 με την υλοποίηση της υποστήριξης IVM (Incremental View Maintenance) για το PostgreSQL 14. Το IVM προσφέρει έναν εναλλακτικό τρόπο ενημέρωσης υλοποιημένων προβολών, πιο αποτελεσματικό εάν οι αλλαγές επηρεάζουν ένα μικρό μέρος της προβολής. Το IVM σάς επιτρέπει να ανανεώνετε άμεσα υλοποιημένες προβολές με μόνο σταδιακές αλλαγές, χωρίς να υπολογίζετε ξανά την προβολή χρησιμοποιώντας τη λειτουργία REFRESH MATERIALIZED VIEW.
Πηγή: opennet.ru