Sono stati generati aggiornamenti correttivi per tutti i rami PostgreSQL supportati: 13.3, 12.7, 11.12, 10.17 e 9.6.22. Gli aggiornamenti per il ramo 9.6 verranno generati fino a novembre 2021, 10 fino a novembre 2022, 11 fino a novembre 2023, 12 fino a novembre 2024, 13 fino a novembre 2025. Le nuove versioni eliminano tre vulnerabilità e correggono gli errori accumulati.
La vulnerabilità CVE-2021-32027 può comportare una scrittura del buffer fuori dai limiti a causa di un overflow di numeri interi durante i calcoli dell'indice dell'array. Manipolando i valori degli array nelle query SQL, un utente malintenzionato con accesso per eseguire query SQL può scrivere qualsiasi dato in un'area arbitraria della memoria del processo e ottenere l'esecuzione del suo codice con i diritti del server DBMS. Altre due vulnerabilità (CVE-2021-32028, CVE-2021-32029) portano alla perdita del contenuto della memoria del processo durante la manipolazione delle richieste "INSERT ... ON CONFLICT ... DO UPDATE" e "UPDATE ... RETURNING".
Le correzioni relative alla non vulnerabilità includono:
- Elimina i calcoli errati durante l'esecuzione di "UPDATE...RETURNING" per aggiornare le tabelle partizionate unite.
- Correggere l'errore del comando "ALTER TABLE ... ALTER CONSTRAINT" quando sono presenti vincoli di chiave esterna in combinazione con l'utilizzo di tabelle partizionate.
- La funzionalità “COMMIT AND CHAIN” è stata migliorata.
- Per le nuove versioni di FreeBSD, la modalità fdatasync è ora impostata su thatwal_sync_method per impostazione predefinita.
- Il parametro Vacuum_cleanup_index_scale_factor è disabilitato per impostazione predefinita.
- Risolte le perdite di memoria che si verificavano durante l'inizializzazione delle connessioni TLS.
- Sono stati aggiunti ulteriori controlli a pg_upgrade per la presenza di tipi di dati nelle tabelle utente che non possono essere aggiornate.
Fonte: opennet.ru