Atualizações corretivas foram geradas para todas as ramificações do PostgreSQL suportadas: 14.3, 13.7, 12.11, 11.16 e 10.22. A ramificação 10.x está chegando ao fim do suporte (as atualizações serão geradas até novembro de 2022). O lançamento de atualizações para o branch 11.x durará até novembro de 2023, 12.x até novembro de 2024, 13.x até novembro de 2025, 14.x até novembro de 2026.
As novas versões oferecem mais de 50 correções e eliminam a vulnerabilidade CVE-2022-1552 associada à capacidade de contornar o isolamento de execução de operações privilegiadas Autovacuum, REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW, CLUSTER e pg_amcheck. Um invasor com autoridade para criar objetos não temporários em qualquer esquema de armazenamento pode fazer com que funções SQL arbitrárias sejam executadas com privilégios de root enquanto um usuário privilegiado executa as operações acima que afetam o objeto do invasor. Em particular, a exploração da vulnerabilidade pode ocorrer durante a limpeza automática do banco de dados quando o manipulador autovacuum é executado.
Se a atualização não for possível, a solução alternativa para bloquear o problema é desabilitar o autovacuum e não executar as operações REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW e CLUSTER como usuário root e não executar pg_amcheck ou restaurar o conteúdo de um backup criado por pg_dump . A execução de VACUUM é considerada segura, assim como qualquer operação de comando, desde que os objetos sendo processados pertençam a usuários confiáveis.
Outras mudanças nas novas versões incluem a atualização do código JIT para funcionar com LLVM 14, permitindo o uso de modelos database.schema.table nos utilitários psql, pg_dump e pg_amcheck, corrigindo problemas que levam à corrupção de índices GiST em colunas ltree, erros incorretos arredondamento de valores no formato época extraído de dados de intervalo, operação incorreta do agendador ao usar consultas remotas assíncronas, classificação incorreta de linhas da tabela ao usar a expressão CLUSTER em índices com chaves baseadas em expressão, perda de dados devido a um encerramento anormal imediatamente após construção de um índice classificado GiST, impasse durante a exclusão do índice particionado, condição de corrida entre a operação DROP TABLESPACE e o ponto de verificação.
Além disso, podemos notar o lançamento da extensão pg_ivm 1.0 com a implementação do suporte IVM (Incremental View Maintenance) para PostgreSQL 14. O IVM oferece uma forma alternativa de atualizar visualizações materializadas, mais eficaz se as alterações afetarem uma pequena parte da visualização. O IVM permite que visualizações materializadas sejam atualizadas instantaneamente apenas com alterações incrementais, sem recalcular a visualização usando a operação REFRESH MATERIALIZED VIEW.
Fonte: opennet.ru