Pembaruan korektif telah dibuat untuk semua cabang PostgreSQL yang didukung: 14.3, 13.7, 12.11, 11.16 dan 10.22. Cabang 10.x mendekati akhir dukungan (pembaruan akan dilakukan hingga November 2022). Rilis pembaruan cabang 11.x akan berlangsung hingga November 2023, 12.x hingga November 2024, 13.x hingga November 2025, 14.x hingga November 2026.
Versi baru menawarkan lebih dari 50 perbaikan dan menghilangkan kerentanan CVE-2022-1552 yang terkait dengan kemampuan untuk melewati isolasi eksekusi operasi istimewa Autovacuum, REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, CLUSTER dan pg_amcheck. Penyerang dengan wewenang untuk membuat objek non-sementara dalam skema penyimpanan apa pun dapat menyebabkan fungsi SQL sewenang-wenang dijalankan dengan hak istimewa root sementara pengguna yang memiliki hak istimewa melakukan operasi di atas yang memengaruhi objek penyerang. Secara khusus, eksploitasi kerentanan dapat terjadi selama pembersihan otomatis database ketika pengendali autovacuum dijalankan.
Jika pembaruan tidak memungkinkan, solusi untuk memblokir masalah ini adalah dengan menonaktifkan autovacuum dan tidak melakukan operasi REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, dan CLUSTER sebagai pengguna root, dan tidak menjalankan pg_amcheck atau memulihkan konten dari cadangan yang dibuat oleh pg_dump . Menjalankan VACUUM dianggap aman, seperti halnya operasi perintah apa pun, selama objek yang diproses dimiliki oleh pengguna yang tepercaya.
Perubahan lain dalam rilis baru termasuk memperbarui kode JIT agar berfungsi dengan LLVM 14, mengizinkan penggunaan templat database.schema.table di utilitas psql, pg_dump dan pg_amcheck, memperbaiki masalah yang menyebabkan kerusakan indeks GiST pada kolom ltree, salah pembulatan nilai dalam format zaman yang diekstraksi dari data interval, operasi penjadwal yang salah saat menggunakan kueri jarak jauh asinkron, pengurutan baris tabel yang salah saat menggunakan ekspresi CLUSTER pada indeks dengan kunci berbasis ekspresi, kehilangan data karena penghentian abnormal segera setelahnya membangun indeks GiST yang diurutkan, kebuntuan selama penghapusan indeks yang dipartisi, kondisi balapan antara operasi DROP TABLESPACE dan pos pemeriksaan.
Selain itu, kita dapat mencatat rilis ekstensi pg_ivm 1.0 dengan penerapan dukungan IVM (Inkremental View Maintenance) untuk PostgreSQL 14. IVM menawarkan cara alternatif untuk memperbarui tampilan yang terwujud, lebih efektif jika perubahan memengaruhi sebagian kecil tampilan. IVM memungkinkan tampilan material untuk disegarkan secara instan hanya dengan perubahan bertahap, tanpa menghitung ulang tampilan menggunakan operasi REFRESH MATERIALIZED VIEW.
Sumber: opennet.ru