Corrigerende updates zijn opgesteld voor alle ondersteunde takken van PostgreSQL: 14.1, 13.5, 12.9, 11.14, 10.19 en 9.6.24. Versie 9.6.24 zal de laatste update zijn voor tak 9.6, waarvan de ondersteuning is stopgezet. Updates voor tak 10 worden tot november 2022 samengesteld, tak 11 tot november 2023, tak 12 tot november 2024, tak 13 tot november 2025 en tak 14 tot november 2026.
In de nieuwe versies zijn meer dan 40 correcties voorgesteld en zijn twee kwetsbaarheden verholpen (CVE-2021-23214, CVE-2021-23222) in het serverproces en de clientbibliotheek libpq. De kwetsbaarheden stellen een aanvaller in staat om zich in de versleutelde communicatie te mengen via een MITM-aanval. De aanval vereist geen geldig SSL-certificaat en kan worden uitgevoerd tegen systemen die cliƫntauthenticatie via certificaat vereisen. In de context van de server stelt de aanval een vervangende SQL-query in staat op het moment dat een versleutelde verbinding wordt opgezet tussen de cliƫnt en de PostgreSQL-server. In de context van libpq stelt de kwetsbaarheid een aanvaller in staat om een valse serverantwoord aan de cliƫnt te sturen. De kwetsbaarheden stellen in combinatie slachtoffers in staat om informatie over wachtwoorden of andere vertrouwelijke gegevens van de cliƫnt die in de vroege stadia van de verbinding worden verzonden, te extraheren.
Daarnaast kan de publicatie van Yandex van een nieuwe versie van de proxyserver Odyssey 1.2 worden vermeld, die is ontworpen om een pool van open verbindingen naar de PostgreSQL-database te onderhouden en het routeren van verzoeken te organiseren. Odyssey ondersteunt de uitvoering van meerdere werkprocessen met multi-threaded handlers, bovendien server bij herverbinding van de cliƫnt, de mogelijkheid om verbindingpools aan gebruikers en databases te koppelen. De code is geschreven in C en wordt verspreid onder de BSD-licentie.
In de nieuwe versie van Odyssey is een bescherming toegevoegd om data-injectie te blokkeren na het onderhandelen van een SSL-sessie (dit helpt aanvallen met de eerder genoemde kwetsbaarheden CVE-2021-23214 en CVE-2021-23222 te blokkeren). Ondersteuning voor PAM en LDAP is geĆÆmplementeerd. Integratie met het monitoring systeem Prometheus is toegevoegd. De berekening van statistische parameters voor het bijhouden van de uitvoeringstijden van transacties en verzoeken is verbeterd.
Bron: opennet.ru
