Se han formado actualizaciones correctivas para todas las ramas compatibles de PostgreSQL: 13.3, 12.7, 11.12, 10.17 y 9.6.22. Las actualizaciones para la rama 9.6 se generarán hasta noviembre de 2021, para 10 hasta noviembre de 2022, para 11 hasta noviembre de 2023, para 12 hasta noviembre de 2024 y para 13 hasta noviembre de 2025. En las nuevas versiones se han corregido tres vulnerabilidades y se han resuelto errores acumulados.
La vulnerabilidad CVE-2021-32027 puede provocar escritura de datos fuera del límite del búfer debido a un desbordamiento de enteros durante el cálculo de los índices de los arreglos. A través de la manipulación de valores de arreglos en consultas SQL, un atacante con acceso para ejecutar consultas SQL puede escribir cualquier dato en una ubicación de memoria arbitraria del proceso y lograr ejecutar su código con privilegios. servidores DBMS. Otras dos vulnerabilidades (CVE-2021-32028, CVE-2021-32029) causan una fuga de contenido de la memoria del proceso al manipular consultas «INSERT … ON CONFLICT … DO UPDATE» y «UPDATE … RETURNING».
Entre las correcciones no relacionadas con vulnerabilidades se pueden destacar:
- La eliminación de cálculos incorrectos durante la ejecución de «UPDATE … RETURNING» para actualizar tablas segmentadas combinadas.
- La eliminación de fallos en el comando «ALTER TABLE … ALTER CONSTRAINT» cuando hay restricciones para claves externas combinadas con el uso de tablas segmentadas.
- Se ha mejorado la funcionalidad de «COMMIT AND CHAIN».
- Para las nuevas versiones de FreeBSD, se ha establecido por defecto el modo fdatasync en thatwal_sync_method.
- Se ha deshabilitado por defecto el parámetro vacuum_cleanup_index_scale_factor.
- Se han corregido fugas de memoria que se manifiestan durante la inicialización de conexiones TLS.
- En pg_upgrade se han añadido comprobaciones adicionales para la presencia de tipos de datos en tablas de usuario que no son actualizables.
Fuente: opennet.ru
