Mise à jour de PostgreSQL avec correction des vulnérabilités

Des mises à jour correctives ont été formulées pour toutes les branches prises en charge de PostgreSQL : 13.3, 12.7, 11.12, 10.17 et 9.6.22. Les mises à jour pour la branche 9.6 seront générées jusqu'en novembre 2021, 10 jusqu'en novembre 2022, 11 jusqu'en novembre 2023, 12 jusqu'en novembre 2024 et 13 jusqu'en novembre 2025. Les nouvelles versions corrigent trois vulnérabilités et résolvent des bogues accumulés.

La vulnérabilité CVE-2021-32027 peut entraîner un écriture de données en dehors de la mémoire tampon en raison d'un dépassement d'entier lors du calcul des indices des tableaux. Par manipulation des valeurs des tableaux dans des requêtes SQL, un attaquant ayant accès à l'exécution de requêtes SQL peut écrire n'importe quelles données dans une zone mémoire arbitraire du processus et exécuter son code avec les droits. de serveurs DBMS. Deux autres vulnérabilités (CVE-2021-32028, CVE-2021-32029) entraînent une fuite de contenu de la mémoire du processus lors de la manipulation de requêtes « INSERT … ON CONFLICT … DO UPDATE » et « UPDATE … RETURNING ».

Parmi les corrections non liées aux vulnérabilités, on peut noter :

• Correction des calculs incorrects lors de l'exécution de « UPDATE … RETURNING » pour la mise à jour de tables segmentées jointes.
• Correction d'un échec de la commande « ALTER TABLE … ALTER CONSTRAINT » lorsqu'il y a des contraintes pour les clés étrangères combinées à l'utilisation de tables segmentées.
• La fonctionnalité « COMMIT AND CHAIN » est opérationnelle.
• Pour les nouvelles versions de FreeBSD, le mode fdatasync est défini par défaut dans thatwal_sync_method.
• Le paramètre vacuum_cleanup_index_scale_factor est désactivé par défaut.
• Des fuites de mémoire signalées lors de l'initialisation des connexions TLS ont été corrigées.
• Des vérifications supplémentaires ont été ajoutées dans pg_upgrade pour détecter les types de données dans les tables utilisateur qui ne peuvent pas être mis à jour.

Source : opennet.ru