mises à jour correctives pour toutes les branches prises en charge de PostgreSQL : , , , et , qui présente un lot de corrections de bogues. La sortie des mises à jour pour la branche 9.4 jusqu'en décembre 2019, 9.5 jusqu'en janvier 2021, 9.6 — jusqu'en septembre 2021, 10 — jusqu'en octobre 2022, 11 — jusqu'en novembre 2023.
Les nouvelles versions corrigent plus de 60 bogues et résolvent quatre vulnérabilités :
- Deux vulnérabilités (CVE-2019-10127, CVE-2019-10128) sont spécifiques à la plateforme Windows et se manifestent dans les installateurs des entreprises EnterpriseDB et BigSQL, qui n'ont pas appliqué de droits d'accès appropriés sur le répertoire de données, permettant à tout utilisateur Windows non privilégié d'initier l'exécution de code au niveau du service PostgreSQL.
- La vulnérabilité CVE-2019-10129 se manifeste dans PostgreSQL 11 et permet à un utilisateur de lire des zones de mémoire arbitraires du processus serveur en envoyant une requête INSERT spécialement formatée à une table partitionnée.
- La vulnérabilité CVE-2019-10130 permet de lire des valeurs d'enregistrements auxquels l'accès est restreint.
Parmi les bogues corrigés, on note la corruption du répertoire lors de l'exécution de « ALTER TABLE » sur une table partitionnée, le plantage du serveur lors d'une erreur lors de la tentative de sauvegarde d'un curseur entre des confirmations de transaction, des problèmes de performance lors du retour en arrière de transactions couvrant un grand nombre de tables, l'absence de support pour l'expression « CREATE TABLE IF NOT EXISTS .. AS EXECUTE .. », et des fuites de mémoire.
Source : opennet.ru
