Korrigáló frissítéseket készítettek el az összes támogatott PostgreSQL ágra: 13.3, 12.7, 11.12, 10.17 és 9.6.22. A 9.6-os ágra vonatkozó frissítések 2021 novemberéig, a 10-es ágra 2022 novemberéig, a 11-es ágra 2023 novemberéig, a 12-es ágra 2024 novemberéig, a 13-as ágra pedig 2025 novemberéig készülnek. Az új kiadásokban három sebezhetőséget megszüntettek, és a felhalmozódott hibákat javították.
A CVE-2021-32027 sebezhetőség adatírást okozhat a pufferen kívül Integer Overflow miatt, amikor a tömbindexek kiszámítása történik. Az SQL-lekérdezésekben lévő tömbértékek manipulálásával a támadó, aki hozzáféréssel rendelkezik SQL lekérdezések futtatásához, bármilyen adatot beírhat a folyamat tetszőleges memóriaterületére, és végrehajthatja a kódját jogokkal. a szerver DBMS. Két másik sebezhetőség (CVE-2021-32028, CVE-2021-32029) tartalom szivárgását okozza a folyamat memóriájából az „INSERT … ON CONFLICT … DO UPDATE” és az „UPDATE … RETURNING” lekérdezések manipulálásakor.
Az sebezhetőségektől független javítások közül kiemelhető:
- A „UPDATE … RETURNING” végrehajtása során az összekapcsolt szegmentált táblák frissítésénél történő helytelen számítások megszüntetése.
- A „ALTER TABLE … ALTER CONSTRAINT” parancs hibájának megszüntetése külső kulcsokkal rendelkező korlátozások mellett a szegmentált táblák használatakor.
- A „COMMIT AND CHAIN” funkció működésének beállítása.
- Az új FreeBSD kiadásokban alapértelmezettként beállítják a fdatasync módot a thatwal_sync_method paraméterben.
- Alapértelmezés szerint letiltották a vacuum_cleanup_index_scale_factor paramétert.
- Memóriaszünetek javítása, amelyek TLS kapcsolatok inicializálásakor jelentkeznek.
- A pg_upgrade-hez további ellenőrzések kerültek hozzáadásra a felhasználói táblákban frissítésre nem alkalmas adattípusok meglétére.
Forrás: opennet.ru
