ການປັບປຸງ PostgreSQL ກັບຊ່ອງໂຫວ່ຖືກແກ້ໄຂ. Odyssey Connection Balancer 1.2 ປ່ອຍອອກມາ

ການປັບປຸງການແກ້ໄຂໄດ້ຖືກສ້າງຂື້ນສໍາລັບທຸກສາຂາ PostgreSQL ທີ່ສະຫນັບສະຫນູນ: 14.1, 13.5, 12.9, 11.14, 10.19 ແລະ 9.6.24. ການປ່ອຍ 9.6.24 ຈະເປັນການປັບປຸງຄັ້ງສຸດທ້າຍສໍາລັບສາຂາ 9.6, ເຊິ່ງໄດ້ຢຸດເຊົາ. ການອັບເດດສໍາລັບສາຂາ 10 ຈະຖືກສ້າງຂຶ້ນຈົນຮອດເດືອນພະຈິກ 2022, 11 - ຈົນເຖິງເດືອນພະຈິກ 2023, 12 - ຈົນເຖິງເດືອນພະຈິກ 2024, 13 - ຈົນເຖິງເດືອນພະຈິກ 2025, 14 - ຈົນເຖິງເດືອນພະຈິກ 2026.

ເວີຊັນໃໝ່ສະເໜີການແກ້ໄຂຫຼາຍກວ່າ 40 ຢ່າງ ແລະ ແກ້ໄຂສອງຊ່ອງໂຫວ່ (CVE-2021-23214, CVE-2021-23222) ໃນຂະບວນການເຊີບເວີ ແລະ ຫ້ອງສະໝຸດລູກຄ້າ libpq. ຊ່ອງໂຫວ່ເຫຼົ່ານີ້ຊ່ວຍໃຫ້ຜູ້ໂຈມຕີສາມາດເຈາະເຂົ້າໄປໃນຊ່ອງທາງການສື່ສານທີ່ຖືກເຂົ້າລະຫັດຜ່ານການໂຈມຕີແບບ man-in-the-middle (MITM). ການໂຈມຕີບໍ່ຕ້ອງການການແກ້ໄຂທີ່ຖືກຕ້ອງ SSL-ໃບຢັ້ງຢືນ ແລະ ສາມາດໃຊ້ຕໍ່ກັບລະບົບທີ່ຕ້ອງການການກວດສອບຄວາມຖືກຕ້ອງຂອງລູກຄ້າໂດຍໃຊ້ໃບຢັ້ງຢືນ. ໃນບໍລິບົດຂອງເຊີບເວີ, ການໂຈມຕີອະນຸຍາດໃຫ້ມີການທົດແທນການສອບຖາມ SQL ໃນລະຫວ່າງການສ້າງການເຊື່ອມຕໍ່ລູກຄ້າທີ່ຖືກເຂົ້າລະຫັດກັບເຊີບເວີ PostgreSQL. ໃນບໍລິບົດ libpq, ຊ່ອງໂຫວ່ດັ່ງກ່າວອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສົ່ງຄືນການຕອບສະໜອງຂອງເຊີບເວີປອມໄປຫາລູກຄ້າ. ເມື່ອລວມເຂົ້າກັນ, ຊ່ອງໂຫວ່ເຫຼົ່ານີ້ອະນຸຍາດໃຫ້ສະກັດຂໍ້ມູນລະຫັດຜ່ານ ຫຼື ຂໍ້ມູນລູກຄ້າທີ່ລະອຽດອ່ອນອື່ນໆທີ່ສົ່ງໄປໃນຕອນຕົ້ນຂອງການເຊື່ອມຕໍ່.

ນອກຈາກນັ້ນ, Yandex ໄດ້ປ່ອຍ Odyssey 1.2 proxy server ລຸ້ນໃໝ່, ເຊິ່ງຖືກອອກແບບມາເພື່ອຮັກສາການເຊື່ອມຕໍ່ແບບເປີດໃຫ້ກັບ PostgreSQL DBMS ແລະຈັດລະບຽບການສົ່ງຕໍ່ການຮ້ອງຂໍ. Odyssey ຮອງຮັບການແລ່ນຂະບວນການຂອງຜູ້ເຮັດວຽກຫຼາຍຄົນດ້ວຍຕົວຈັດການແບບຫຼາຍກະທູ້, ແລະທິດທາງກໍ່ເປັນ ເຄື່ອງແມ່ຂ່າຍ ເມື່ອລູກຄ້າເຊື່ອມຕໍ່ຄືນໃໝ່, ຄວາມສາມາດໃນການຜູກມັດກຸ່ມການເຊື່ອມຕໍ່ກັບຜູ້ໃຊ້ ແລະ ຖານຂໍ້ມູນ. ລະຫັດຖືກຂຽນດ້ວຍພາສາ C ແລະ ແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ BSD.

ຮຸ່ນໃຫມ່ຂອງ Odyssey ເພີ່ມການປ້ອງກັນການສະກັດການທົດແທນຂໍ້ມູນຫຼັງຈາກການເຈລະຈາກອງປະຊຸມ SSL (ຊ່ວຍໃຫ້ທ່ານສາມາດສະກັດການໂຈມຕີໂດຍໃຊ້ຊ່ອງໂຫວ່ທີ່ໄດ້ກ່າວມາຂ້າງເທິງ CVE-2021-23214 ແລະ CVE-2021-23222). ການສະຫນັບສະຫນູນ PAM ແລະ LDAP ໄດ້ຖືກປະຕິບັດ. ເພີ່ມການປະສົມປະສານກັບລະບົບການຕິດຕາມ Prometheus. ປັບປຸງການຄິດໄລ່ຕົວກໍານົດການສະຖິຕິເພື່ອບັນຊີສໍາລັບການເຮັດທຸລະກໍາແລະເວລາການສອບຖາມ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru