Correctieve updates zijn gemaakt voor alle ondersteunde takken van PostgreSQL: 13.4, 12.8, 11.13, 10.18 en 9.6.23. Updates voor tak 9.6 worden gemaakt tot november 2021, 10 tot november 2022, 11 tot november 2023, 12 tot november 2024 en 13 tot november 2025.
In de nieuwe versies zijn 75 correcties voorgesteld en is de kwetsbaarheid CVE-2021-3677 verholpen, die het mogelijk maakt om via het uitvoeren van een speciaal gevormd verzoek de inhoud van het geheugen van het serverproces te lezen. De aanval kan worden uitgevoerd door elke gebruiker met toegang om SQL-opdrachten uit te voeren. Alleen de takken PostgreSQL 11, 12 en 13 zijn kwetsbaar. Bekende aanvalsmethoden raken geen configuraties met de instelling max_worker_processes=0, maar het is niet uitgesloten dat er methoden bestaan die niet afhankelijk zijn van deze instelling.
Bron: opennet.ru
