So были созданы корректирующие обновления для всех поддерживаемых веток PostgreSQL: 13.4, 12.8, 11.13, 10.18 и 9.6.23. Обновления для ветки 9.6 будут доступны до ноября 2021 года, 10 — до ноября 2022 года, 11 — до ноября 2023 года, 12 — до ноября 2024 года, 13 — до ноября 2025 года.
В новых версиях было предложено 75 исправлений, а также устранена уязвимость CVE-2021-3677, позволяющая при выполнении специально сформированного запроса читать содержимое памяти серверного процесса. Атака может быть осуществлена любым пользователем, имеющим доступ для выполнения SQL-запросов. Проблеме подвержены только ветки PostgreSQL 11, 12 и 13. Известные варианты атак не затрагивают конфигурации с настройкой max_worker_processes=0, но не исключено существование вариантов, не зависящих от этой настройки.
Izvor: opennet.ru
