Chaidh ùrachaidhean ceart a chruthachadh airson a h-uile meur PostgreSQL le taic: 14.1, 13.5, 12.9, 11.14, 10.19 agus 9.6.24. Is e sgaoileadh 9.6.24 an ùrachadh mu dheireadh airson meur 9.6, a chaidh a stad. Thèid ùrachaidhean airson meur 10 a chruthachadh chun t-Samhain 2022, 11 - chun t-Samhain 2023, 12 - chun t-Samhain 2024, 13 - chun t-Samhain 2025, 14 - chun t-Samhain 2026.
Bidh na dreachan ùra a’ tabhann barrachd air 40 fuasgladh agus a’ cuir às do dhà chugallachd (CVE-2021-23214, CVE-2021-23222) ann am pròiseas an fhrithealaiche agus leabharlann teachdaiche libpq. Tha na so-leòntachd a’ leigeil le neach-ionnsaigh briseadh a-steach do shianal conaltraidh crioptaichte tro ionnsaigh MITM. Chan fheum an ionnsaigh teisteanas SSL dligheach agus faodar a dhèanamh an aghaidh siostaman a dh’ fheumas dearbhadh teachdaiche a’ cleachdadh teisteanas. Ann an co-theacsa an fhrithealaiche, leigidh an ionnsaigh leat do cheist SQL fhèin a chuir na àite aig àm stèidheachadh ceangal crioptaichte bhon neach-dèiligidh gu frithealaiche PostgreSQL. Ann an co-theacsa libpq, tha an so-leòntachd a’ leigeil le neach-ionnsaigh freagairt frithealaiche meallta a thilleadh chun neach-dèiligidh. Nuair a thèid an cur còmhla, leigidh na so-leòntachd fiosrachadh mu fhacal-faire neach-dèiligidh no dàta mothachail eile a chaidh a chuir a-mach tràth sa cheangal a thoirt a-mach.
A bharrachd air an sin, is urrainn dhuinn toirt fa-near foillseachadh Yandex de dhreach ùr den fhrithealaiche proxy Odyssey 1.2, air a dhealbhadh gus cruinneachadh de cheanglaichean fosgailte a chumail ris an PostgreSQL DBMS agus slighe ceist a chuir air dòigh. Tha Odyssey a’ toirt taic do bhith a’ ruith pròiseasan ioma-luchd-obrach le luchd-làimhseachaidh ioma-snàthainn, a’ dol chun aon fhrithealaiche nuair a bhios neach-dèiligidh ag ath-cheangal, agus an comas amaran ceangail a cheangal ri luchd-cleachdaidh agus stòran-dàta. Tha an còd sgrìobhte ann an C agus air a chuairteachadh fo chead BSD.
Bidh an dreach ùr de Odyssey a’ cur dìon ris gus casg a chuir air ionadachadh dàta às deidh dhut seisean SSL a cho-rèiteachadh (a’ leigeil leat ionnsaighean a bhacadh a’ cleachdadh na so-leòntachd gu h-àrd CVE-2021-23214 agus CVE-2021-23222). Tha taic airson PAM agus LDAP air a bhuileachadh. Amalachadh a bharrachd le siostam sgrùdaidh Prometheus. Àireamhachadh nas fheàrr air paramadairean staitistig gus cunntas a thoirt air amannan gnìomh malairt is cheistean.
Source: fosgailtenet.ru