Xeráronse actualizacións correctivas para todas as ramas de PostgreSQL compatibles: 14.3, 13.7, 12.11, 11.16 e 10.22. A rama 10.x achégase ao final do soporte (xeraranse actualizacións ata novembro de 2022). O lanzamento de actualizacións para a rama 11.x durará ata novembro de 2023, 12.x ata novembro de 2024, 13.x ata novembro de 2025, 14.x ata novembro de 2026.
As novas versións ofrecen máis de 50 correccións e eliminan a vulnerabilidade CVE-2022-1552 asociada á posibilidade de evitar o illamento da execución de operacións privilexiadas Autovacuum, REINDEX, CREATE INDEX, FRESH MATERIALIZED VIEW, CLUSTER e pg_amcheck. Un atacante con autoridade para crear obxectos non temporais en calquera esquema de almacenamento pode facer que se executen funcións SQL arbitrarias con privilexios de root mentres un usuario con privilexios está a realizar as operacións anteriores que afectan ao obxecto do atacante. En particular, a explotación da vulnerabilidade pode ocorrer durante a limpeza automática da base de datos cando se executa o controlador de baleiro automático.
Se a actualización non é posible, a solución para bloquear o problema é desactivar o baleiro automático e non realizar operacións REINDEX, CREATE INDEX, ACTUALIZAR VISUALIZACIÓN MATERIALIZADA e CLUSTER como usuario root, e non executar pg_amcheck nin restaurar o contido dunha copia de seguranza creada por pg_dump. . Executar VACUUM considérase segura, como calquera operación de comando, sempre que os obxectos que se procesan sexan propiedade de usuarios de confianza.
Outros cambios nas novas versións inclúen a actualización do código JIT para que funcione con LLVM 14, permitindo o uso de modelos database.schema.table nas utilidades psql, pg_dump e pg_amcheck, corrixindo problemas que provocan a corrupción dos índices GiST sobre columnas ltree, incorrectos. redondeo de valores no formato época extraído de datos de intervalo, operación incorrecta do programador cando se usan consultas remotas asíncronas, clasificación incorrecta das filas da táboa cando se usa a expresión CLUSTER en índices con claves baseadas en expresións, perda de datos debido a unha terminación anormal inmediatamente despois construción dun índice ordenado GiST, bloqueo durante a eliminación do índice particionado, condición de carreira entre a operación DROP TABLESPACE e o punto de control.
Ademais, podemos sinalar o lanzamento da extensión pg_ivm 1.0 coa implementación do soporte IVM (Mantemento de Vistas Incrementais) para PostgreSQL 14. IVM ofrece unha forma alternativa de actualizar as vistas materializadas, máis eficaz se os cambios afectan a unha pequena parte da vista. IVM permite que as vistas materializadas se actualicen instantáneamente con só cambios incrementais, sen volver calcular a vista mediante a operación REFRESH MATERIALIZED VIEW.
Fonte: opennet.ru