Oppdatering av PostgreSQL som fikser sårbarheter

Korrigerende oppdateringer er laget for alle støttede versjoner av PostgreSQL: 13.3, 12.7, 11.12, 10.17 og 9.6.22. Oppdateringer for versjon 9.6 vil bli laget frem til november 2021, 10 frem til november 2022, 11 frem til november 2023, 12 frem til november 2024, og 13 frem til november 2025. De nye utgivelsene fikser tre sårbarheter og retter opp kumulerte feil.

Sårbarheten CVE-2021-32027 kan føre til dataskrivning utenfor bufferet på grunn av heltallsoverløp ved beregning av indeksverdier i matriser. Gjennom manipulering av matriseverdier i SQL-forespørslene kan en angriper som har tilgang til å kjøre SQL-spørsmål, skrive hvilke som helst data til et vilkårlig minneområde i prosessen og oppnå utførelsen av sin kode med rettigheter. serveren DBMS. To andre sårbarheter (CVE-2021-32028, CVE-2021-32029) fører til lekkasje av innholdet i prosessminnet når man manipulerer forespørslene «INSERT … ON CONFLICT … DO UPDATE» og «UPDATE … RETURNING».

Blant de ikke-relaterte feilrettingene kan vi fremheve:

• Fjerning av feilaktige beregninger ved utførelsen av «UPDATE … RETURNING» for oppdatering av sammenslåtte segmenterte tabeller.
• Fjerning av kræsjet i kommandoen «ALTER TABLE … ALTER CONSTRAINT» når det finnes begrensninger for utenlandske nøkler i kombinasjon med bruk av segmenterte tabeller.
• Funksjonaliteten «COMMIT AND CHAIN» har blitt forbedret.
• For nye utgaver av FreeBSD er modus fdatasync nå satt som standard i thatwal_sync_method.
• Parameteren vacuum_cleanup_index_scale_factor er nå deaktivert som standard.
• Minnelekkasjer som oppstår ved initialisering av TLS-forbindelser er nå rettet.
• I pg_upgrade er det lagt til ekstra kontroller for eksisterende datatyper i brukertabeller som ikke kan oppgraderes.

Kilde: opennet.ru