PostgreSQL-i värskendus turvaaugu lahendamiseks. Odyssey 1.2 ühenduste tasakaalu väljaanne

On korrigeerivad uuendused kõikidele toetatavatele PostgreSQL harudele: 14.1, 13.5, 12.9, 11.14, 10.19 ja 9.6.24. Väljalase 9.6.24 saab olema viimane uuendus harule 9.6, kelle toetus lõpetatakse. Uuendusi harule 10 hakatakse välja andma novembris 2022, 11 – novembris 2023, 12 – novembris 2024, 13 – novembris 2025, 14 – novembris 2026.

Uutes versioonides on toodud üle 40 paranduse ja kõrvaldatud kaks haavatavust (CVE-2021-23214, CVE-2021-23222) serveri protsessis ja kliendi raamatukogus libpq. Haavatavused võimaldavad ründajal sekkuda krüpteeritud side kanalisse läbi MITM-rünnaku. Rünnak ei vaja kehtivat SSL-sertifikaati ja võib olla suunatud süsteemidele, mis nõuavad kliendi autentimist sertifikaadi kaudu. Serveri kontekstis võimaldab rünnak asendada oma SQL-päringu krüpteeritud ühenduse loomise hetkel PostgreSQL serveriga. libpq kontekstis võimaldab haavatavus ründajal saata kliendile vale serveri vastuse. Koos võimaldavad haavatavused välja tõmmata teavet paroolide või muude konfidentsiaalsete andmete kohta, mis edastatakse ühenduse loomise varases etapis.

Lisaks saab märkida, et Yandex on avaldanud uue versiooni proksi-serverist Odyssey 1.2, mis on mõeldud PostgreSQL andmebaasi avatud ühenduste ja päringute marsruutimise haldamiseks. Odyssey toetab mitme tööprotsessi käivitamist mitu lõimekäsitlejat, samuti serveri kui klient uuesti ühendust loob, võimalus siduda ühenduse hulgad kasutajate ja andmebaasidega. Kood on kirjutatud C keeles ja levitatakse BSD litsentsi alusel.

Uues versioonis on Odyssey-le lisatud kaitse andmete asendamise blokeerimiseks SSL-seansi läbirääkimiste järgselt (lubab blokeerida rünnakud, mis kasutavad ülaltoodud haavatavusi CVE-2021-23214 ja CVE-2021-23222). Realiseeritud on PAM ja LDAP tugi. Lisatud on integreerimine jälgimissüsteemiga Prometheus. Parendatud on statistika parameetrite arvutust tehingute ja päringute käitamise aega arvesse võttes.

Allikas: opennet.ru