कमजोरियों को ठीक करने के साथ PostgreSQL अपडेट। ओडिसी कनेक्शन बैलेंसर 1.2 रिलीज

सभी समर्थित PostgreSQL शाखाओं के लिए सुधारात्मक अद्यतन तैयार किए गए हैं: 14.1, 13.5, 12.9, 11.14, 10.19 और 9.6.24। रिलीज़ 9.6.24 अप्रचलित 9.6 शाखा के लिए अंतिम अद्यतन होगा। शाखा 10 के लिए अपडेट नवंबर 2022 तक, 11 के लिए नवंबर 2023 तक, 12 के लिए नवंबर 2024 तक, 13 के लिए नवंबर 2025 तक, 14 के लिए नवंबर 2026 तक जेनरेट किए जाएंगे।

नए संस्करण 40 से अधिक सुधारों की पेशकश करते हैं और सर्वर प्रक्रिया और libpq क्लाइंट लाइब्रेरी में दो कमजोरियों (CVE-2021-23214, CVE-2021-23222) को ठीक करते हैं। कमजोरियाँ एक हमलावर को MITM हमले के माध्यम से एक एन्क्रिप्टेड संचार चैनल में सेंध लगाने की अनुमति देती हैं। हमले के लिए वैध एसएसएल प्रमाणपत्र की आवश्यकता नहीं होती है और इसे उन प्रणालियों के विरुद्ध किया जा सकता है जिनके लिए प्रमाणपत्र के साथ क्लाइंट प्रमाणीकरण की आवश्यकता होती है। सर्वर के संदर्भ में, हमला क्लाइंट और PostgreSQL सर्वर के बीच एन्क्रिप्टेड कनेक्शन स्थापित करने के समय अपनी स्वयं की SQL क्वेरी के प्रतिस्थापन की अनुमति देता है। Libpq के संदर्भ में, भेद्यता एक हमलावर को क्लाइंट को एक डमी सर्वर प्रतिक्रिया वापस करने की अनुमति देती है। साथ में, कमजोरियाँ कनेक्शन के प्रारंभिक चरण में प्रेषित पासवर्ड या अन्य संवेदनशील क्लाइंट डेटा के बारे में जानकारी निकालने की अनुमति देती हैं।

इसके अतिरिक्त, हम यैंडेक्स द्वारा ओडिसी 1.2 प्रॉक्सी सर्वर के एक नए संस्करण के प्रकाशन को नोट कर सकते हैं, जिसे पोस्टग्रेएसक्यूएल डीबीएमएस के लिए खुले कनेक्शन के पूल को बनाए रखने और अनुरोध रूटिंग को व्यवस्थित करने के लिए डिज़ाइन किया गया है। ओडिसी मल्टी-थ्रेडेड हैंडलर के साथ कई कार्यकर्ता प्रक्रियाओं को चलाने का समर्थन करता है, क्लाइंट के दोबारा कनेक्ट होने पर उसी सर्वर पर निर्देशित करता है, कनेक्शन पूल को उपयोगकर्ताओं और डेटाबेस से बांधने की क्षमता देता है। कोड सी में लिखा गया है और बीएसडी लाइसेंस के तहत वितरित किया गया है।

ओडिसी का नया संस्करण एसएसएल सत्र बातचीत के बाद डेटा प्रतिस्थापन को अवरुद्ध करने के लिए सुरक्षा जोड़ता है (आपको उपरोक्त कमजोरियों सीवीई-2021-23214 और सीवीई-2021-23222 का उपयोग करके हमलों को रोकने की अनुमति देता है)। PAM और LDAP के लिए समर्थन लागू किया गया। प्रोमेथियस निगरानी प्रणाली के साथ एकीकरण जोड़ा गया। लेन-देन और प्रश्नों के निष्पादन समय को ध्यान में रखते हुए सांख्यिकी मापदंडों की बेहतर गणना।

स्रोत: opennet.ru