Korrigearjende fernijings binne oanmakke foar alle stipe PostgreSQL-tûken: 14.1, 13.5, 12.9, 11.14, 10.19 en 9.6.24. Release 9.6.24 sil de lêste update wêze foar de 9.6 branch, dy't is beëinige. Updates foar branch 10 wurde oanmakke oant novimber 2022, 11 - oant novimber 2023, 12 - oant novimber 2024, 13 - oant novimber 2025, 14 - oant novimber 2026.
De nije ferzjes biede mear as 40 reparaasjes en pakken twa kwetsberheden oan (CVE-2021-23214, CVE-2021-23222) yn it serverproses en de libpq-kliïntbibleteek. Dizze kwetsberheden meitsje it mooglik foar in oanfaller om yn in fersifere kommunikaasjekanaal te kommen fia in man-in-the-middle (MITM)-oanfal. De oanfal fereasket net de juste ... SSL-sertifikaat en kin brûkt wurde tsjin systemen dy't kliïntautentikaasje fereaskje mei in sertifikaat. Yn 'e serverkontekst makket de oanfal SQL-queryferfanging mooglik by it opsetten fan in fersifere kliïntferbining mei de PostgreSQL-tsjinner. Yn 'e libpq-kontekst makket de kwetsberens in oanfaller ta om in falske serverantwurd werom te jaan oan 'e kliïnt. Yn kombinaasje meitsje dizze kwetsberens it mooglik om wachtwurdynformaasje of oare gefoelige kliïntgegevens te ekstrahearjen dy't betiid yn 'e ferbining ferstjoerd wurde.
Derneist hat Yandex in nije ferzje fan syn Odyssey 1.2 proxytsjinner útbrocht, ûntworpen om in pool fan iepen ferbiningen mei de PostgreSQL DBMS te ûnderhâlden en fersykrûtearring te organisearjen. Odyssey stipet it útfieren fan meardere wurkprosessen mei multi-threaded handlers, en de rjochting is ek tsjinner As in kliïnt opnij ferbynt, de mooglikheid om ferbiningspools te binen oan brûkers en databases. De koade is skreaun yn C en ferspraat ûnder de BSD-lisinsje.
De nije ferzje fan Odyssey foeget beskerming ta om gegevensferfanging te blokkearjen nei it ûnderhanneljen fan in SSL-sesje (kinne jo oanfallen blokkearje mei de boppeneamde kwetsberens CVE-2021-23214 en CVE-2021-23222). Stipe foar PAM en LDAP is ymplementearre. Yntegraasje tafoege mei it Prometheus-monitorsysteem. Ferbettere berekkening fan statistyske parameters om rekken te hâlden mei transaksje- en query-útfieringstiden.
Boarne: opennet.ru
