Boli vytvorené opravné aktualizácie pre všetky podporované vetvy PostgreSQL: 13.3, 12.7, 11.12, 10.17 a 9.6.22. Aktualizácie pre vetvu 9.6 budú vytvárané do novembra 2021, pre 10 do novembra 2022, pre 11 do novembra 2023, pre 12 do novembra 2024 a pre 13 do novembra 2025. V nových vydaniach boli odstránené tri zraniteľnosti a opravené nahromadené chyby.
Zraniteľnosť CVE-2021-32027 môže viesť k zapisovaniu údajov mimo pamäťového zásobníka kvôli pretečeniu celého čísla pri výpočtoch indexov polí. Cez manipuláciu s hodnotami polí v SQL dotazocha útočník, ktorý má prístup na vykonávanie SQL dotazov, môže zapísať akékoľvek údaje do ľubovoľnej oblasti pamäte procesu a dosiahnuť vykonanie svojho kódu s právami servera DBMS. Dve ďalšie zraniteľnosti (CVE-2021-32028, CVE-2021-32029) vedú k úniku obsahu pamäte procesu pri manipulácii s dopytmi "INSERT … ON CONFLICT … DO UPDATE" a "UPDATE … RETURNING".
Z opráv, ktoré nie sú spojené so zraniteľnosťami, môžeme vyzdvihnúť:
- Odstránenie nesprávnych výpočtov pri vykonávaní "UPDATE … RETURNING" pre aktualizáciu zlučovaných segmentovaných tabuliek.
- Odstránenie zlyhania príkazu "ALTER TABLE … ALTER CONSTRAINT" pri existencii obmedzení pre cudzí kľúč v kombinácii s použitím segmentovaných tabuliek.
- Nastavená funkčnosť "COMMIT AND CHAIN".
- Pre nové vydania FreeBSD bolo zabezpečené nastavenie predvolenej hodnoty režimu fdatasync v thatwal_sync_method.
- Parametr vacuum_cleanup_index_scale_factor je predvolene vypnutý.
- Opravené úniky pamäte, ktoré sa prejavujú pri inicializácii TLS pripojení.
- V pg_upgrade boli pridané ďalšie kontroly na prítomnosť v užívateľských tabuľkách typov údajov, ktoré nie sú povolené na aktualizáciu.
Zdroj: opennet.ru
