Des mises à jour correctives ont été formulées pour toutes les branches prises en charge de PostgreSQL : 13.4, 12.8, 11.13, 10.18 et 9.6.23. Les mises à jour pour la branche 9.6 seront formulées jusqu'en novembre 2021, pour 10 jusqu'en novembre 2022, pour 11 jusqu'en novembre 2023, pour 12 jusqu'en novembre 2024 et pour 13 jusqu'en novembre 2025.
Les nouvelles versions proposent 75 corrections et règlent la vulnérabilité CVE-2021-3677, qui permet, à travers l'exécution d'une requête spécialement formulée, de lire le contenu de la mémoire du processus serveur. Une attaque peut être réalisée par tout utilisateur ayant accès pour exécuter des requêtes SQL. Seules les branches PostgreSQL 11, 12 et 13 sont concernées. Les vecteurs d'attaque connus ne touchent pas les configurations avec max_worker_processes=0, mais il n'est pas exclu qu'il existe des variantes indépendantes de cette configuration.
Source : opennet.ru
