Korrektsiooniauendused on loodud kõigile toetatavatele PostgreSQL harudele: 14.1, 13.5, 12.9, 11.14, 10.19 ja 9.6.24. Versioon 9.6.24 saab olema viimane uuendus haru 9.6 jaoks, mille tugi lõpetatakse. Uuendused haru 10 jaoks tulevad kuni 2022. aasta novembrini, 11 - kuni 2023. aasta novembrini, 12 - kuni 2024. aasta novembrini, 13 - kuni 2025. aasta novembrini, 14 - kuni 2026. aasta novembrini.
Uutes versioonides on pakutud üle 40 paranduse ja kõrvaldatud kaks haavatavust (CVE-2021-23214, CVE-2021-23222) serveriprotsessis ja kliendiraamatukogus libpq. Need haavatavused võimaldavad ründajal siseneda krüpteeritud ühendusse MITM-rünnaku teel. Rünnak ei nõua kehtivat SSL-sertifikaadi ja võib toimuda süsteemide vastu, mis nõuavad kliendi autentimist sertifikaadi alusel. PostgreSQL serveri kontekstis võimaldab rünnak asendada SQL-päringu hetkel, kui kliendi krüpteeritud ühendus serveriga luuakse. Libpq kontekstis võimaldab haavatavus ründajal kliendile vale serveri vastuse tagastada. Koos võimaldavad haavatavused välja tõmmata teavet parooli või muude konfidentsiaalsete andmete kohta, mida klient edastab ühenduse alguses.
Lisaks võib märkida, et Yandex on välja andnud uue versiooni vahe-serverist Odyssey 1.2, mis on mõeldud PostgreSQL andmebaasiga avatud ühenduste hoidmiseks ja päringute marsruutimiseks. Odyssey toetab mitmete töötajate protsesside käivitamist mitme lõime töötlejatega ja suunamise samuti serverile klientide taaskäivitusprotsessi, mille kaudu on võimalik siduda ühenduste erinevad basseinid kasutajate ja andmebaasidega. Kood on kirjutatud C keeles ja levitatakse BSD litsentsi alusel.
Uues Odyssey versioonis on lisatud kaitse andmete asendamise blokeerimiseks SSL-seansi kokkuleppe järel (võimaldab blokeerida rünnakud, mis kasutavad eelpool mainitud haavatavusi CVE-2021-23214 ja CVE-2021-23222). Toetatakse PAM-i ja LDAP-i. On lisatud integratsioon seire süsteemiga Prometheus. Parandatud on statistikas arvestamise parameetrite arvutamist, et arvesse võtta tehingute ja päringute täitmise aega.
Allikas: opennet.ru
