കേടുപാടുകൾ പരിഹരിച്ച PostgreSQL അപ്‌ഡേറ്റ്. ഒഡീസി കണക്ഷൻ ബാലൻസർ 1.2 പുറത്തിറങ്ങി

പിന്തുണയ്‌ക്കുന്ന എല്ലാ PostgreSQL ശാഖകൾക്കും തിരുത്തൽ അപ്‌ഡേറ്റുകൾ സൃഷ്‌ടിച്ചിട്ടുണ്ട്: 14.1, 13.5, 12.9, 11.14, 10.19, 9.6.24. നിർത്തലാക്കിയ 9.6.24 ബ്രാഞ്ചിന്റെ അവസാന അപ്‌ഡേറ്റ് റിലീസ് 9.6 ആയിരിക്കും. ബ്രാഞ്ച് 10-ന്റെ അപ്‌ഡേറ്റുകൾ 2022 നവംബർ വരെയും 11 - നവംബർ 2023 വരെയും 12 - നവംബർ 2024 വരെയും 13 - നവംബർ 2025 വരെയും 14 - നവംബർ 2026 വരെയും ജനറേറ്റ് ചെയ്യും.

പുതിയ പതിപ്പുകൾ 40-ലധികം പരിഹാരങ്ങൾ വാഗ്ദാനം ചെയ്യുകയും സെർവർ പ്രക്രിയയിലും libpq ക്ലയന്റ് ലൈബ്രറിയിലും രണ്ട് കേടുപാടുകൾ (CVE-2021-23214, CVE-2021-23222) ഇല്ലാതാക്കുകയും ചെയ്യുന്നു. ഒരു MITM ആക്രമണത്തിലൂടെ ഒരു എൻക്രിപ്റ്റ് ചെയ്ത ആശയവിനിമയ ചാനലിലേക്ക് കടന്നുകയറാൻ ഈ കേടുപാടുകൾ ഒരു ആക്രമണകാരിയെ അനുവദിക്കുന്നു. ആക്രമണത്തിന് സാധുവായ ഒരു SSL സർട്ടിഫിക്കറ്റ് ആവശ്യമില്ല, കൂടാതെ ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് ക്ലയന്റ് ആധികാരികത ആവശ്യമുള്ള സിസ്റ്റങ്ങൾക്കെതിരെ ഇത് നടപ്പിലാക്കാം. സെർവറിന്റെ പശ്ചാത്തലത്തിൽ, ക്ലയന്റിൽ നിന്ന് PostgreSQL സെർവറിലേക്ക് എൻക്രിപ്റ്റ് ചെയ്ത കണക്ഷൻ സ്ഥാപിക്കുന്ന സമയത്ത് നിങ്ങളുടെ സ്വന്തം SQL അന്വേഷണത്തിന് പകരം വയ്ക്കാൻ ആക്രമണം നിങ്ങളെ അനുവദിക്കുന്നു. libpq-ന്റെ പശ്ചാത്തലത്തിൽ, ക്ലയന്റിലേക്ക് ഒരു വ്യാജ സെർവർ പ്രതികരണം നൽകാൻ ഒരു ആക്രമണകാരിയെ ദുർബലത അനുവദിക്കുന്നു. സംയോജിപ്പിക്കുമ്പോൾ, ഒരു ക്ലയന്റിന്റെ പാസ്‌വേഡ് അല്ലെങ്കിൽ കണക്ഷന്റെ തുടക്കത്തിൽ കൈമാറിയ മറ്റ് സെൻസിറ്റീവ് ഡാറ്റയെ കുറിച്ചുള്ള വിവരങ്ങൾ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാൻ കേടുപാടുകൾ അനുവദിക്കുന്നു.

കൂടാതെ, PostgreSQL DBMS-ലേക്കുള്ള ഓപ്പൺ കണക്ഷനുകളുടെ ഒരു പൂൾ നിലനിർത്തുന്നതിനും അന്വേഷണ റൂട്ടിംഗ് ഓർഗനൈസ് ചെയ്യുന്നതിനുമായി രൂപകൽപ്പന ചെയ്ത ഒഡീസി 1.2 പ്രോക്സി സെർവറിന്റെ പുതിയ പതിപ്പിന്റെ Yandex-ന്റെ പ്രസിദ്ധീകരണം നമുക്ക് ശ്രദ്ധിക്കാം. മൾട്ടി-ത്രെഡഡ് ഹാൻഡ്‌ലറുകൾ ഉപയോഗിച്ച് ഒന്നിലധികം വർക്കർ പ്രോസസ്സുകൾ പ്രവർത്തിപ്പിക്കുന്നതിനും ഒരു ക്ലയന്റ് വീണ്ടും കണക്റ്റുചെയ്യുമ്പോൾ ഒരേ സെർവറിലേക്ക് റൂട്ടിംഗ് ചെയ്യുന്നതിനും ഉപയോക്താക്കളിലേക്കും ഡാറ്റാബേസുകളിലേക്കും കണക്ഷൻ പൂളുകൾ ബന്ധിപ്പിക്കുന്നതിനുള്ള കഴിവിനെയും ഒഡീസി പിന്തുണയ്ക്കുന്നു. കോഡ് സിയിൽ എഴുതുകയും ബിഎസ്ഡി ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു.

ഒഡീസിയുടെ പുതിയ പതിപ്പ് ഒരു SSL സെഷൻ ചർച്ച ചെയ്ത ശേഷം ഡാറ്റ സബ്‌സ്റ്റിറ്റ്യൂഷൻ തടയുന്നതിന് പരിരക്ഷ നൽകുന്നു (മുകളിൽ സൂചിപ്പിച്ച കേടുപാടുകൾ CVE-2021-23214, CVE-2021-23222 എന്നിവ ഉപയോഗിച്ച് ആക്രമണങ്ങൾ തടയാൻ നിങ്ങളെ അനുവദിക്കുന്നു). PAM, LDAP എന്നിവയ്ക്കുള്ള പിന്തുണ നടപ്പിലാക്കി. പ്രോമിത്യൂസ് മോണിറ്ററിംഗ് സിസ്റ്റവുമായുള്ള സംയോജനം ചേർത്തു. ഇടപാട്, അന്വേഷണ നിർവ്വഹണ സമയങ്ങൾ എന്നിവ കണക്കിലെടുത്ത് സ്ഥിതിവിവരക്കണക്ക് പാരാമീറ്ററുകളുടെ മെച്ചപ്പെട്ട കണക്കുകൂട്ടൽ.

അവലംബം: opennet.ru