A megfelelő frissítések elkészültek a PostgreSQL minden támogatott ágához: 14.1, 13.5, 12.9, 11.14, 10.19 és 9.6.24. A 9.6.24 kiadás lesz az utolsó frissítés a 9.6 ághoz, amelynek támogatása megszűnik. A 10-es ágra vonatkozó frissítések 2022 novemberéig, a 11-es ágra 2023 novemberéig, a 12-es ágra 2024 novemberéig, a 13-as ágra 2025 novemberéig, a 14-es ágra pedig 2026 novemberéig készülnek.
Az új verziók több mint 40 javítást és két sebezhetőséget (CVE-2021-23214, CVE-2021-23222) tartalmaznak a szerveroldali folyamatban és a libpq klienskönyvtárban. Ezek a sebezhetőségek lehetővé teszik a támadó számára, hogy beépüljön a titkosított kapcsolatba, végrehajtva egy MITM támadást. A támadás nem igényel érvényes SSL-tanúsítványt, és végrehajtható olyan rendszerek ellen, amelyek kliens-azonosítást igényelnek tanúsítvány révén. A szerver kontextusában a támadás lehetővé teszi, hogy a támadó helyettesítse a saját SQL-lekérdezését a PostgreSQL szerverhez való titkosított kapcsolat felállításának pillanatában. A libpq esetében a sebezhetőség lehetővé teszi a támadó számára, hogy megtévesztő választ küldjön a kliensnek. Ezek a sebezhetőségek együtt információk kiszivárgását teszik lehetővé, például a jelszavakról vagy más bizalmas adatokkal, amelyeket a kapcsolat korai szakaszában továbbítanak.
Továbbá említésre méltó, hogy a Yandex új verziót tett közzé az Odyssey 1.2 proxy-szerverből, amely a PostgreSQL adatbázis-kezelőhöz való nyitott kapcsolatok pooljának fenntartására és a lekérdezések irányítására szolgál. Az Odyssey támogatja több munkafolyamat indítását több szálú kezelőkkel, emellett szerverhez a kliensnél történő újracsatlakozáskor a kapcsolódási poolok felhasználókhoz és adatbázisokhoz való kötésének lehetőségét is. A kód C nyelven készült és BSD licenc alatt érhető el.
Az új Odyssey verzióban bevezetésre került egy védelem az adatok helyettesítésének blokkolására az SSL-munkamenet megkötése után (lehetővé teszi a fent említett CVE-2021-23214 és CVE-2021-23222 sebezhetőségekkel kapcsolatos támadások blokkolását). Implementálva lett a PAM és LDAP támogatás. A Prometheus monitoring rendszer integrációja is beépítésre került. Javították a statisztikai paraméterek számítását a tranzakciók és lekérdezések végrehajtási idejének figyelembevételével.
Forrás: opennet.ru
