Korrigerande uppdateringar har tagits fram för alla stödda versioner av PostgreSQL: 13.3, 12.7, 11.12, 10.17 och 9.6.22. Uppdateringar för version 9.6 kommer att fortsätta fram till november 2021, 10 fram till november 2022, 11 fram till november 2023, 12 fram till november 2024 och 13 fram till november 2025. I de nya versionerna har tre sårbarheter åtgärdats och ackumulerade buggar har fixats.
Sårbarheten CVE-2021-32027 kan leda till att data skrivs utanför bufferten på grund av ett heltalsöverflöde vid beräkning av index för arrayer. Genom att manipulera värden i arrayer i SQL-frågor kan en angripare som har tillgång till att köra SQL-frågor skriva valfria data till ett godtyckligt minnesområde i processen och åstadkomma exekvering av sin kod med rättigheter. servern DBMS. Två andra sårbarheter (CVE-2021-32028, CVE-2021-32029) leder till läckage av innehållet i processens minne vid manipulation med frågorna "INSERT … ON CONFLICT … DO UPDATE" och "UPDATE … RETURNING".
Bland de icke-sårbarhetsrelaterade korrigeringarna kan nämnas:
- Åtgärdande av felaktiga beräkningar vid utförande av "UPDATE … RETURNING" för att uppdatera sammanfogade segmenterade tabeller.
- Åtgärdande av kraschen i kommandot "ALTER TABLE … ALTER CONSTRAINT" när det finns begränsningar för främmande nycklar i kombination med användning av segmenterade tabeller.
- Funktionen "COMMIT AND CHAIN" har blivit justerad.
- För de nya versionerna av FreeBSD har standardinställningarna för fdatasync-läget i thatwal_sync_method säkerställts.
- Parameter vacuum_cleanup_index_scale_factor är avstängd som standard.
- Minnesläckor som uppstår vid initiering av TLS-anslutningar har åtgärdats.
- Ytterligare kontroller har lagts till i pg_upgrade för att identifiera datatyper i användartabeller som inte kan uppgraderas.
Källa: opennet.ru
