PostgreSQL värskendus haavatavuste kõrvaldamiseks

On loodud korrektsiooniparandused kõigi toetatud PostgreSQL harude jaoks: 13.3, 12.7, 11.12, 10.17 ja 9.6.22. Parandusi harule 9.6 tehakse kuni novembrini 2021, harule 10 kuni novembrini 2022, harule 11 kuni novembrini 2023, harule 12 kuni novembrini 2024 ja harule 13 kuni novembrini 2025. Uutes väljaannetes on kõrvaldatud kolm haavatavust ja parandatud kogunenud vigu.

Haavatavus CVE-2021-32027 võib põhjustada andmete kirjutamist mälust välja, mille tagajärjel toimub arvutuste käigus täisarvu üleujutus massiivide indeksite arvutamisel. SQL-päringutesse massiivide väärtuste manipuleerimise kaudu võib ründaja, kellel on juurdepääs SQL-päringute täitmisele, kirjutada mis tahes andmed protsessi suvalisse mälukohta ning saavutada oma koodi täitmine õigustes. serverid DBMS. Kaks muud haavatavust (CVE-2021-32028, CVE-2021-32029) põhjustavad protsessi mälu sisu leket, kui manipuleeritakse päringutega "INSERT … ON CONFLICT … DO UPDATE" ja "UPDATE … RETURNING".

Seoses haavatavustega mitteseotud parandustest võib välja tuua:

• Korrigeeritud vale arvutamine päringu "UPDATE … RETURNING" täitmisel liidetud segmenteeritud tabelite värskendamisel.
• Parandatud "ALTER TABLE … ALTER CONSTRAINT" käsu tõrge, kui välisvõtme piirangud on koos segmenteeritud tabelitega.
• Tugifunktsionaalsuse "COMMIT AND CHAIN" toimimine on taastatud.
• Uute FreeBSD versioonide jaoks on seadistatud vaikimisi režiim fdatasync thatwal_sync_method.
• Vaikimisi on keelatud parameeter vacuum_cleanup_index_scale_factor.
• Mälu lekkeid, mis ilmnevad TLS-ühenduste initsialiseerimisel, on parandatud.
• pg_upgrade'isse on lisatud täiendavad kontrollid kasutaja tabelite eemaldamatute andmetüüpide olemasolu osas.

Allikas: opennet.ru