PostgreSQL अपडेट असुरक्षा निश्चित. ओडिसी कनेक्शन बॅलन्सर 1.2 रिलीज झाला

सर्व समर्थित PostgreSQL शाखांसाठी सुधारात्मक अद्यतने व्युत्पन्न केली गेली आहेत: 14.1, 13.5, 12.9, 11.14, 10.19 आणि 9.6.24. प्रकाशन 9.6.24 हे 9.6 शाखेसाठी शेवटचे अपडेट असेल, जे बंद करण्यात आले आहे. शाखा 10 साठी अपडेट नोव्हेंबर 2022 पर्यंत, 11 - नोव्हेंबर 2023 पर्यंत, 12 - नोव्हेंबर 2024 पर्यंत, 13 - नोव्हेंबर 2025 पर्यंत, 14 - नोव्हेंबर 2026 पर्यंत जनरेट केले जातील.

नवीन आवृत्त्या 40 पेक्षा जास्त निराकरणे ऑफर करतात आणि सर्व्हर प्रक्रियेत आणि libpq क्लायंट लायब्ररीमधील दोन भेद्यता (CVE-2021-23214, CVE-2021-23222) दूर करतात. भेद्यता आक्रमणकर्त्याला MITM हल्ल्याद्वारे एनक्रिप्टेड संप्रेषण चॅनेलमध्ये प्रवेश करण्यास अनुमती देते. हल्ल्यासाठी वैध SSL प्रमाणपत्राची आवश्यकता नसते आणि प्रमाणपत्र वापरून क्लायंट प्रमाणीकरण आवश्यक असलेल्या प्रणालींविरूद्ध चालते. सर्व्हरच्या संदर्भात, क्लायंटकडून PostgreSQL सर्व्हरवर एनक्रिप्टेड कनेक्शन स्थापित करताना हल्ला तुम्हाला तुमची स्वतःची SQL क्वेरी बदलण्याची परवानगी देतो. libpq च्या संदर्भात, असुरक्षा आक्रमणकर्त्याला क्लायंटला बोगस सर्व्हर प्रतिसाद परत करण्यास अनुमती देते. एकत्रित केल्यावर, असुरक्षा क्लायंटच्या पासवर्डबद्दल किंवा कनेक्शनच्या सुरुवातीला प्रसारित केलेल्या इतर संवेदनशील डेटाबद्दल माहिती काढण्याची परवानगी देतात.

याव्यतिरिक्त, आम्ही ओडिसी 1.2 प्रॉक्सी सर्व्हरच्या नवीन आवृत्तीचे Yandex द्वारे प्रकाशन लक्षात घेऊ शकतो, जे PostgreSQL DBMS ला ओपन कनेक्शनचा पूल राखण्यासाठी आणि क्वेरी राउटिंग आयोजित करण्यासाठी डिझाइन केलेले आहे. ओडिसी मल्टी-थ्रेडेड हँडलर्ससह एकाधिक कामगार प्रक्रिया चालविण्यास, क्लायंट पुन्हा कनेक्ट झाल्यावर त्याच सर्व्हरवर राउटिंग आणि वापरकर्ते आणि डेटाबेसेस कनेक्शन पूल बांधण्याची क्षमता यांचे समर्थन करते. कोड C मध्ये लिहिलेला आहे आणि BSD परवान्याअंतर्गत वितरित केला आहे.

Odyssey ची नवीन आवृत्ती SSL सत्राच्या वाटाघाटीनंतर डेटा प्रतिस्थापन ब्लॉक करण्यासाठी संरक्षण जोडते (आपल्याला वर नमूद केलेल्या असुरक्षा CVE-2021-23214 आणि CVE-2021-23222 वापरून हल्ले अवरोधित करण्याची परवानगी देते). PAM आणि LDAP साठी समर्थन लागू केले आहे. प्रोमिथियस मॉनिटरिंग सिस्टमसह एकत्रीकरण जोडले. व्यवहार आणि क्वेरी अंमलात येण्याच्या वेळेसाठी आकडेवारीच्या पॅरामीटर्सची सुधारित गणना.

स्त्रोत: opennet.ru