עדכון PostgreSQL עם תיקון פגיעות. גרסה pg_ivm 1.0

נוצרו עדכונים מתקנים עבור כל סניפי PostgreSQL הנתמכים: 14.3, 13.7, 12.11, 11.16 ו-10.22. סניף 10.x מתקרב לסוף התמיכה (עדכונים יופקו עד נובמבר 2022). שחרור העדכונים עבור סניף 11.x יימשך עד נובמבר 2023, 12.x עד נובמבר 2024, 13.x עד נובמבר 2025, 14.x עד נובמבר 2026.

הגרסאות החדשות מציעות יותר מ-50 תיקונים ומבטלות את הפגיעות CVE-2022-1552 הקשורה ליכולת לעקוף את בידוד הביצוע של פעולות מורשות Autovacuum, REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, CLUSTER ו-pg_amcheck. תוקף בעל הסמכות ליצור אובייקטים לא זמניים בכל סכימת אחסון יכול לגרום לביצוע פונקציות SQL שרירותיות עם הרשאות בסיס בזמן שמשתמש בעל הרשאות מבצע את הפעולות לעיל המשפיעות על אובייקט התוקף. בפרט, ניצול של הפגיעות יכול להתרחש במהלך ניקוי אוטומטי של מסד הנתונים כאשר המטפל האוטומטי מבוצע.

אם העדכון אינו אפשרי, הדרך לעקיפת הבעיה היא להשבית שואב אוטומטי ולא לבצע פעולות REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW ו-CLUSTER כמשתמש שורש, ולא להפעיל את pg_amcheck או לשחזר תוכן מגיבוי שנוצר על ידי pg_dump . ביצוע VACUUM נחשב בטוח, כמו כל פעולת פקודה, כל עוד האובייקטים המעובדים הם בבעלות משתמשים מהימנים.

שינויים נוספים במהדורות החדשות כוללים עדכון קוד JIT כך שיעבוד עם LLVM 14, מתן אפשרות שימוש בתבניות database.schema.table בכלי השירות psql, pg_dump ו-pg_amcheck, תיקון בעיות המובילות לשחיתות של אינדקס GiST על עמודות ltree, שגוי עיגול ערכים בתקופת הפורמט המופקת מנתוני מרווחים, פעולת מתזמן שגויה בעת שימוש בשאילתות מרחוק אסינכרוניות, מיון שגוי של שורות טבלה בעת שימוש בביטוי CLUSTER באינדקסים עם מפתחות מבוססי ביטוי, אובדן נתונים עקב סיום חריג מיד לאחר מכן בניית אינדקס ממוין GiST, מבוי סתום במהלך מחיקה אינדקס מחולק, מצב מירוץ בין פעולת DROP TABLESPACE לבין המחסום.

בנוסף, אנו יכולים לציין את שחרורו של התוסף pg_ivm 1.0 עם הטמעת תמיכה ב-IVM (Incremental View Maintenance) עבור PostgreSQL 14. IVM מציע דרך חלופית לעדכן תצוגות שהתממשו, יעיל יותר אם שינויים משפיעים על חלק קטן מהתצוגה. IVM מאפשר לרענן תצוגות שהתממשו באופן מיידי עם שינויים מצטברים בלבד, מבלי לחשב מחדש את התצוגה באמצעות פעולת REFRESH MATERIALIZED VIEW.

מקור: OpenNet.ru