Atualizações corretivas foram formuladas para todas as versões suportadas do PostgreSQL: 13.3, 12.7, 11.12, 10.17 e 9.6.22. As atualizações para a versão 9.6 serão formuladas até novembro de 2021, para 10 até novembro de 2022, para 11 até novembro de 2023, para 12 até novembro de 2024 e para 13 até novembro de 2025. Nas novas versões, foram corrigidas três vulnerabilidades e resolvidos erros acumulados.
A vulnerabilidade CVE-2021-32027 pode levar à gravação de dados fora dos limites do buffer devido a um estouro de inteiro ao calcular índices de arrays. Por meio da manipulação de valores de arrays em consultas SQL, um atacante com acesso para executar consultas SQL pode gravar quaisquer dados em uma área de memória arbitrária do processo e conseguir a execução de seu código com privilégios de banco de dados. servidor DBMS. Outras duas vulnerabilidades (CVE-2021-32028, CVE-2021-32029) resultam em vazamento de conteúdo da memória do processo ao manipular as consultas 'INSERT … ON CONFLICT … DO UPDATE' e 'UPDATE … RETURNING'.
Entre as correções não relacionadas a vulnerabilidades, destacam-se:
- A correção de cálculos incorretos ao executar 'UPDATE … RETURNING' para atualizar tabelas segmentadas unidas.
- A correção de falhas no comando 'ALTER TABLE … ALTER CONSTRAINT' quando existem restrições para chaves estrangeiras em combinação com o uso de tabelas segmentadas.
- Foi restabelecida a funcionalidade 'COMMIT AND CHAIN'.
- Para novas versões do FreeBSD, o modo fdatasync foi definido como padrão em thatwal_sync_method.
- O parâmetro vacuum_cleanup_index_scale_factor foi desativado por padrão.
- Fugas de memória que ocorrem durante a inicialização de conexões TLS foram corrigidas.
- No pg_upgrade, foram adicionadas verificações adicionais para a presença de tipos de dados nas tabelas do usuário que não podem ser atualizados.
Fonte: opennet.ru
