PostgreSQL atjauninājums ar drošības ievainojamību novēršanu

Ir izstrādāti labojumi visām atbalstītajām PostgreSQL filiālēm: 13.3, 12.7, 11.12, 10.17 un 9.6.22. Labojumi filiālei 9.6 tiks izstrādāti līdz 2021. gada novembrim, 10 - līdz 2022. gada novembrim, 11 - līdz 2023. gada novembrim, 12 - līdz 2024. gada novembrim, 13 līdz 2025. gada novembrim. Jaunajos laidienos ir novērstas trīs ievainojamības un labotas uzkrājušās kļūdas.

Ievainojamība CVE-2021-32027 var novest pie datu rakstīšanas ārpus bufera robežām, jo ​​īpaši veseluma pārsniegšanas dēļ, veicot masīvu indeksu aprēķinus. Manipulējot ar masīvu vērtībām SQL pieprasījumos, uzbrucējs, kuram ir pieeja SQL pieprasījumu izpildei, var rakstīt jebkādus datus jebkurā procesa atmiņas apgabalā un panākt sava koda izpildi ar tiesībām serveris DBMS. Divas citas ievainojamības (CVE-2021-32028, CVE-2021-32029) izraisa procesa atmiņas satura noplūdi, manipulējot ar pieprasījumiem "INSERT ... ON CONFLICT ... DO UPDATE" un "UPDATE ... RETURNING".

Nesaistītas ar ievainojamībām labojumu vidū var izcelt:

• Nepareizu aprēķinu novēršana, izpildot "UPDATE ... RETURNING", lai atjauninātu apvienotās segmentētās tabulas.
• Kļūdu novēršana komandā "ALTER TABLE ... ALTER CONSTRAINT", kad ir ierobežojumi ārējiem atslēgām, izmantojot segmentētas tabulas.
• Ir nodrošināta "COMMIT AND CHAIN" funkcionalitātes darbība.
• Jaunajiem FreeBSD laidieniem ir noklusēts fdatasync režīms thatwal_sync_method.
• Noklusējumā ir atspējots parametrs vacuum_cleanup_index_scale_factor.
• Ir labotas atmiņas noplūdes, kas parādās TLS savienojumu inicializācijas laikā.
• pg_upgrade ir pievienotas papildu pārbaudes, lai noteiktu, vai lietotāja tabulās ir datu tipi, kas nav atjaunojami.

Avots: opennet.lv