Korrigerande uppdateringar har genererats för alla PostgreSQL-grenar som stöds: 14.3, 13.7, 12.11, 11.16 och 10.22. 10.x-grenen närmar sig slutet av supporten (uppdateringar kommer att genereras fram till november 2022). Utgivningen av uppdateringar för 11.x-grenen kommer att pågå till november 2023, 12.x till november 2024, 13.x till november 2025, 14.x till november 2026.
De nya versionerna erbjuder mer än 50 korrigeringar och eliminerar sårbarheten CVE-2022-1552 som är förknippad med möjligheten att kringgå isolering av exekvering av privilegierade operationer Autovacuum, REINDEX, CREATE INDEX, REFRRESH MATERIALISED VIEW, CLUSTER och pg_amcheck. En angripare med behörighet att skapa icke-tillfälliga objekt i vilket lagringsschema som helst kan orsaka att godtyckliga SQL-funktioner exekveras med root-privilegier medan en privilegierad användare utför ovanstående operationer som påverkar angriparens objekt. I synnerhet kan exploatering av sårbarheten inträffa under automatisk rengöring av databasen när autovakuumhanteraren exekveras.
Om uppdateringen inte är möjlig är lösningen för att blockera problemet att inaktivera autovacuum och inte utföra REINDEX, CREATE INDEX, REFRESH MATERIALIZED VIEW och CLUSTER-operationer som en rotanvändare, och inte köra pg_amcheck eller återställa innehåll från en säkerhetskopia skapad av pg_dump . Att köra VACUUM anses säkert, liksom alla kommandooperationer, så länge som objekten som bearbetas ägs av betrodda användare.
Andra ändringar i de nya utgåvorna inkluderar att uppdatera JIT-koden för att fungera med LLVM 14, tillåta användning av database.schema.table-mallar i verktygen psql, pg_dump och pg_amcheck, åtgärda problem som leder till korruption av GiST-index över ltree-kolumner, felaktiga avrundning av värden i formatet epok extraherad från intervalldata, felaktig schemaläggningsoperation vid användning av asynkrona fjärrfrågor, felaktig sortering av tabellrader vid användning av CLUSTER-uttrycket på index med uttrycksbaserade nycklar, dataförlust på grund av en onormal avslutning omedelbart efter konstruera ett sorterat GiST-index, dödläge under borttagning av partitionerat index, rasvillkor mellan DROP TABLESPACE-operationen och kontrollpunkten.
Dessutom kan vi notera lanseringen av pg_ivm 1.0-tillägget med implementering av IVM-stöd (Incremental View Maintenance) för PostgreSQL 14. IVM erbjuder ett alternativt sätt att uppdatera materialiserade vyer, mer effektivt om ändringar påverkar en liten del av vyn. IVM tillåter materialiserade vyer att omedelbart uppdateras med endast inkrementella ändringar, utan att räkna om vyn med åtgärden REFRESH MATERIALISED VIEW.
Källa: opennet.ru