Foram liberadas atualizações corretivas para todos os ramos suportados do PostgreSQL: 14.3, 13.7, 12.11, 11.16 e 10.22. O ramo 10.x está se aproximando do fim do período de suporte (as atualizações serão geradas até novembro de 2022). O lançamento de atualizações para o ramo 11.x continuará até novembro de 2023, 12.x - até novembro de 2024, 13.x - até novembro de 2025 e 14.x - até novembro de 2026.
As novas versões oferecem mais de 50 correções e solucionam a vulnerabilidade CVE-2022-1552, relacionada à possibilidade de contornar o isolamento na execução de operações privilegiadas Autovacuum, REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, CLUSTER e pg_amcheck. Um atacante, que possui permissão para criar objetos não temporários em qualquer esquema de armazenamento, pode conseguir executar funções SQL arbitrárias com privilégios de superusuário durante a execução das operações mencionadas anteriormente, afetando o objeto do atacante. A exploração da vulnerabilidade também pode ocorrer durante a limpeza automática do banco de dados ao executar o manipulador autovacuum.
Se a atualização não puder ser realizada, como uma solução alternativa para a questão de bloqueio, é possível desativar o autovacuum e evitar que o usuário privilegiado execute operações REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW e CLUSTER, além de não iniciar a utilidade pg_amcheck e não restaurar o conteúdo de um backup criado pela utilidade pg_dump. A execução do VACUUM foi considerada segura, assim como a aplicação de qualquer operação de comando, desde que os objetos processados pertençam a usuários confiáveis.
Entre outras mudanças nas novas versões, destacam-se a atualização do código JIT para compatibilidade com LLVM 14, permissões para uso de modelos database.schema.table nas utilidades psql, pg_dump e pg_amcheck, correções de problemas que levavam à corrupção de índices GiST sobre colunas ltree, arredondamento incorreto de valores no formato epoch extraídos de dados do tipo interval, falhas no funcionamento do planejador ao usar consultas remotas assíncronas, ordenação incorreta de linhas de tabela ao usar a expressão CLUSTER sobre índices com chaves baseadas em expressões, perda de dados em caso de falha logo após a construção de um índice GiST ordenado, deadlock ao remover um índice particionado e condição de corrida entre a operação DROP TABLESPACE e a fixação de estado (checkpoint).
Adicionalmente, pode-se destacar o lançamento da extensão pg_ivm 1.0, que implementa suporte a IVM (Manutenção de Visualização Incremental) para PostgreSQL 14. O IVM oferece uma alternativa para a atualização de visualizações materializadas, sendo mais eficiente quando as mudanças afetam apenas uma pequena parte da visualização. O IVM permite atualizar instantaneamente as visualizações materializadas, aplicando apenas mudanças incrementais, sem a necessidade de recalcular a visualização, o que ocorre ao usar a operação 'REFRESH MATERIALIZED VIEW'.
Fonte: opennet.ru
