Er zijn correctieve updates ontwikkeld voor alle ondersteunde versies van PostgreSQL: 13.3, 12.7, 11.12, 10.17 en 9.6.22. Updates voor versie 9.6 zullen worden uitgebracht tot november 2021, 10 tot november 2022, 11 tot november 2023, 12 tot november 2024 en 13 tot november 2025. In de nieuwe releases zijn drie kwetsbaarheden verholpen en zijn er opgebouwde fouten gecorrigeerd.
Kwetsbaarheid CVE-2021-32027 kan leiden tot het schrijven van gegevens buiten de buffer door een integer overflow tijdens het berekenen van array-indexen. Door manipulatie met array-waarden in SQL-query's kan een aanvaller met toegang tot het uitvoeren van SQL-query's willekeurige gegevens in een willekeurig geheugenadres van het proces schrijven en zijn code met de juiste rechten uitvoeren. de server DBMS. Twee andere kwetsbaarheden (CVE-2021-32028, CVE-2021-32029) leiden tot het lekken van de inhoud van het procesgeheugen bij manipulatie van de query's "INSERT … ON CONFLICT … DO UPDATE" en "UPDATE … RETURNING".
Wat niet-kwetsbaarheidsgerelateerde correcties betreft, kunnen de volgende worden opgemerkt:
- Correctie van onjuiste berekeningen bij het uitvoeren van "UPDATE … RETURNING" voor het bijwerken van samengevoegde gesegmenteerde tabellen.
- Verholpen is de crash van het commando "ALTER TABLE … ALTER CONSTRAINT" bij het hebben van beperkingen voor buitenlandse sleutels in combinatie met het gebruik van gesegmenteerde tabellen.
- De functionaliteit "COMMIT AND CHAIN" is op orde gebracht.
- Voor nieuwe releases van FreeBSD is de modus fdatasync als standaard ingesteld in thatwal_sync_method.
- De parameter vacuum_cleanup_index_scale_factor is standaard uitgeschakeld.
- Geheugenlekken die zich voordoen bij de initialisatie van TLS-verbindingen zijn verholpen.
- In pg_upgrade zijn aanvullende controles toegevoegd om te controleren op het bestaan van datatypes in gebruikers tabellen die niet kunnen worden geüpdatet.
Bron: opennet.ru
