Foram formadas atualizações corretivas para todos os ramos suportados do PostgreSQL: 14.1, 13.5, 12.9, 11.14, 10.19 e 9.6.24. A versão 9.6.24 será a última atualização para o ramo 9.6, cujo suporte será encerrado. As atualizações para o ramo 10 serão formadas até novembro de 2022, 11 até novembro de 2023, 12 até novembro de 2024, 13 até novembro de 2025 e 14 até novembro de 2026.
As novas versões oferecem mais de 40 correções e resolveram duas vulnerabilidades (CVE-2021-23214, CVE-2021-23222) no processo do servidor e na biblioteca cliente libpq. As vulnerabilidades permitem que um atacante intercepte o canal de comunicação criptografado por meio de um ataque MITM. O ataque não requer a posse de um certificado válido SSL- e pode ser realizado contra sistemas que exigem autenticação de cliente por certificado. No contexto do servidor, o ataque permite substituir sua própria consulta SQL no momento da instalação da conexão criptografada entre o cliente e o servidor PostgreSQL. No contexto da libpq, a vulnerabilidade permite que um atacante retorne ao cliente uma resposta falsa do servidor. Em combinação, as vulnerabilidades permitem extrair informações sobre senhas ou outros dados confidenciais do cliente transmitidos na fase inicial da conexão.
Adicionalmente, pode-se mencionar a publicação pela Yandex de uma nova versão do servidor proxy Odyssey 1.2, destinado a manter um pool de conexões abertas com o banco de dados PostgreSQL e a organizar a roteação de consultas. O Odyssey suporta a execução de vários processos de trabalho com manipuladores multithread, além disso, servidor na reconexão do cliente, a possibilidade de vincular pools de conexões a usuários e DBS. O código é escrito em C e é distribuído sob a licença BSD.
Na nova versão do Odyssey, foi adicionada uma proteção para bloquear a substituição de dados após a negociação da sessão SSL (permite bloquear ataques com as vulnerabilidades mencionadas CVE-2021-23214 e CVE-2021-23222). Implementou-se a compatibilidade com PAM e LDAP. Foi adicionada integração com o sistema de monitoramento Prometheus. Melhorou-se o cálculo de parâmetros estatísticos para contabilizar o tempo de execução de transações e consultas.
Fonte: opennet.ru
