असुरक्षा निराकरणासह PostgreSQL अद्यतन. pg_ivm 1.0 रिलीज

सर्व समर्थित PostgreSQL शाखांसाठी सुधारात्मक अद्यतने व्युत्पन्न केली गेली आहेत: 14.3, 13.7, 12.11, 11.16 आणि 10.22. 10.x शाखा समर्थनाच्या समाप्तीकडे येत आहे (नोव्हेंबर 2022 पर्यंत अद्यतने जनरेट केली जातील). 11.x शाखेसाठी अपडेट्सचे प्रकाशन नोव्हेंबर 2023 पर्यंत, 12.x नोव्हेंबर 2024 पर्यंत, 13.x नोव्हेंबर 2025 पर्यंत, 14.x नोव्हेंबर 2026 पर्यंत चालेल.

नवीन आवृत्त्या 50 पेक्षा जास्त निराकरणे ऑफर करतात आणि विशेषाधिकारप्राप्त ऑपरेशन्स ऑटोव्हॅक्यूम, रीइंडेक्स, क्रिएट इंडेक्स, रीफ्रेश मटेरियलाइज्ड व्ह्यू, pg_check आणि क्लस्टरच्या अंमलबजावणीच्या अलगावला बायपास करण्याच्या क्षमतेशी संबंधित CVE-2022-1552 असुरक्षा दूर करतात. कोणत्याही स्टोरेज स्कीममध्ये तात्पुरत्या नसलेल्या वस्तू तयार करण्याचा अधिकार असलेला आक्रमणकर्ता मूळ विशेषाधिकारांसह अनियंत्रित SQL फंक्शन्स अंमलात आणू शकतो जेव्हा एक विशेषाधिकार प्राप्त वापरकर्ता आक्रमणकर्त्याच्या ऑब्जेक्टवर परिणाम करणारे वरील ऑपरेशन करत असतो. विशेषतः, जेव्हा ऑटोव्हॅक्यूम हँडलर कार्यान्वित केला जातो तेव्हा डेटाबेसच्या स्वयंचलित साफसफाईच्या वेळी भेद्यतेचे शोषण होऊ शकते.

अपडेट करणे शक्य नसल्यास, ऑटोव्हॅक्यूम अक्षम करणे आणि रूट वापरकर्ता म्हणून REINDEX, क्रिएट इंडेक्स, रीफ्रेश मटेरिअलाइज्ड व्ह्यू आणि क्लस्टर ऑपरेशन्स न करणे आणि pg_amcheck न चालवणे किंवा pg_dump द्वारे तयार केलेल्या बॅकअपमधून सामग्री पुनर्संचयित करणे ही समस्या अवरोधित करण्याचा उपाय आहे. . VACUUM कार्यान्वित करणे सुरक्षित मानले जाते, कोणत्याही कमांड ऑपरेशनप्रमाणे, जोपर्यंत प्रक्रिया केल्या जात असलेल्या वस्तू विश्वसनीय वापरकर्त्यांच्या मालकीच्या असतात.

नवीन प्रकाशनांमधील इतर बदलांमध्ये LLVM 14 सह कार्य करण्यासाठी JIT कोड अद्यतनित करणे, psql, pg_dump आणि pg_amcheck युटिलिटीजमध्ये database.schema.table टेम्प्लेट्स वापरण्याची परवानगी देणे, ltree स्तंभांवर जीआयएसटी अनुक्रमणिका दूषित होण्यास कारणीभूत समस्यांचे निराकरण करणे, चुकीचे समाविष्ट आहे. इंटरव्हल डेटामधून काढलेल्या फॉरमॅट युगातील मूल्यांचे राउंडिंग, असिंक्रोनस रिमोट क्वेरी वापरताना चुकीचे शेड्यूलर ऑपरेशन, एक्सप्रेशन-आधारित कीसह निर्देशांकांवर क्लस्टर एक्सप्रेशन वापरताना टेबल पंक्तींची चुकीची क्रमवारी, नंतर लगेचच असामान्य समाप्तीमुळे डेटा गमावणे जीआयएसटी क्रमवारीत अनुक्रमणिका तयार करणे, विभाजनित निर्देशांक हटवताना गतिरोध, DROP टेबलस्पेस ऑपरेशन आणि चेकपॉईंट दरम्यान शर्यतीची स्थिती.

याव्यतिरिक्त, आम्ही PostgreSQL 1.0 साठी IVM (इन्क्रिमेंटल व्ह्यू मेंटेनन्स) समर्थनाच्या अंमलबजावणीसह pg_ivm 14 विस्ताराचे प्रकाशन लक्षात घेऊ शकतो. IVM भौतिक दृश्ये अद्यतनित करण्याचा पर्यायी मार्ग ऑफर करते, जर बदल दृश्याच्या छोट्या भागावर परिणाम करत असतील तर अधिक प्रभावी. IVM रीफ्रेश मटेरिअलाइज्ड व्ह्यू ऑपरेशनचा वापर करून दृश्याची पुनर्गणना न करता केवळ वाढीव बदलांसह मटेरियलाइज्ड व्ह्यूजला झटपट रीफ्रेश करण्याची परवानगी देते.

स्त्रोत: opennet.ru