Er zijn corrigerende updates gegenereerd voor alle ondersteunde PostgreSQL-vertakkingen: 14.3, 13.7, 12.11, 11.16 en 10.22. De 10.x-tak nadert het einde van de ondersteuning (updates worden gegenereerd tot november 2022). De release van updates voor de 11.x-tak duurt tot november 2023, 12.x tot november 2024, 13.x tot november 2025, 14.x tot november 2026.
De nieuwe versies bieden meer dan 50 oplossingen en elimineren de kwetsbaarheid CVE-2022-1552 die verband houdt met de mogelijkheid om de isolatie van de uitvoering van bevoorrechte bewerkingen te omzeilen. Autovacuum, REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, CLUSTER en pg_amcheck. Een aanvaller met de bevoegdheid om niet-tijdelijke objecten in elk opslagschema te maken, kan ervoor zorgen dat willekeurige SQL-functies worden uitgevoerd met root-privileges, terwijl een bevoorrechte gebruiker de bovenstaande bewerkingen uitvoert die van invloed zijn op het object van de aanvaller. In het bijzonder kan misbruik van de kwetsbaarheid plaatsvinden tijdens het automatisch opschonen van de database wanneer de autovacuum-handler wordt uitgevoerd.
Als de update niet mogelijk is, is de oplossing voor het blokkeren van het probleem het uitschakelen van autovacuum en het niet uitvoeren van REINDEX-, CREATE INDEX-, REFRESH MATERIALIZED VIEW- en CLUSTER-bewerkingen als rootgebruiker, en het niet uitvoeren van pg_amcheck of het herstellen van inhoud vanaf een back-up gemaakt door pg_dump . Het uitvoeren van VACUUM wordt als veilig beschouwd, net als elke opdracht, zolang de objecten die worden verwerkt eigendom zijn van vertrouwde gebruikers.
Andere wijzigingen in de nieuwe releases zijn onder meer het updaten van de JIT-code om te werken met LLVM 14, het toestaan van het gebruik van database.schema.table-sjablonen in de hulpprogramma's psql, pg_dump en pg_amcheck, het oplossen van problemen die leiden tot corruptie van GiST-indexen over ltree-kolommen, onjuiste afronding van waarden in het formaat-epoch geëxtraheerd uit intervalgegevens, onjuiste werking van de planner bij gebruik van asynchrone externe query's, onjuiste sortering van tabelrijen bij gebruik van de CLUSTER-expressie op indexen met op expressies gebaseerde sleutels, gegevensverlies als gevolg van een abnormale beëindiging onmiddellijk daarna het construeren van een GiST-gesorteerde index, impasse tijdens het verwijderen van de gepartitioneerde index, raceconditie tussen de DROP TABLESPACE-bewerking en het controlepunt.
Daarnaast kunnen we de release van de pg_ivm 1.0-extensie noteren met de implementatie van IVM-ondersteuning (Incremental View Maintenance) voor PostgreSQL 14. IVM biedt een alternatieve manier om gerealiseerde views bij te werken, effectiever als wijzigingen een klein deel van de view beïnvloeden. Met IVM kunnen gerealiseerde weergaven onmiddellijk worden vernieuwd met alleen incrementele wijzigingen, zonder de weergave opnieuw te berekenen met behulp van de REFRESH MATERIALIZED VIEW-bewerking.
Bron: opennet.ru