Oblikovana su ispravke za sve podržane grane PostgreSQL: 13.3, 12.7, 11.12, 10.17 i 9.6.22. Ispravke za granu 9.6 će se formirati do novembra 2021. godine, za 10 do novembra 2022. godine, za 11 do novembra 2023. godine, za 12 do novembra 2024. godine, a za 13 do novembra 2025. godine. U novim izdanjima su ispravljene tri ranjivosti i rešeni akumulirani problemi.
Ranjivost CVE-2021-32027 može dovesti do upisa podataka izvan granica bafera zbog prelivanja celog broja prilikom izračunavanja indeksa nizova. Manipulacijom vrednostima nizova u SQL upitima, napadač koji ima pristup izvršavanju SQL upita može napisati bilo koje podatke u proizvoljan deo memorije procesa i ostvariti izvršenje svog koda sa pravima strežnika DBMS. Dve druge ranjivosti (CVE-2021-32028, CVE-2021-32029) dovode do curenja sadržaja memorije procesa prilikom manipulacije sa upitima "INSERT … ON CONFLICT … DO UPDATE" i "UPDATE … RETURNING".
Od ispravki koje nisu povezane sa ranjivostima mogu se izdvojiti:
- Ispravljanje nepravilnih izračunavanja prilikom izvršavanja "UPDATE … RETURNING" za ažuriranje spojenih segmentiranih tabela.
- Ispravljen je kvar komande "ALTER TABLE … ALTER CONSTRAINT" kada postoje ograničenja za strane ključeve u kombinaciji sa korišćenjem segmentiranih tabela.
- Rešena je funkcionalnost "COMMIT AND CHAIN".
- Za nova izdanja FreeBSD osigurano je podešavanje režima fdatasync kao podrazumevanog u thatwal_sync_method.
- Onemogućen je podrazumevajući parametar vacuum_cleanup_index_scale_factor.
- Ispravljene su curenja memorije koja se javljaju prilikom inicijalizacije TLS veza.
- U pg_upgrade su dodate dodatne provere za prisustvo tipova podataka u korisničkim tabelama koji se ne mogu ažurirati.
Izvor: opennet.ru
