Barcha qo'llab-quvvatlanadigan PostgreSQL filiallari uchun tuzatuvchi yangilanishlar yaratildi: 14.1, 13.5, 12.9, 11.14, 10.19 va 9.6.24. 9.6.24 versiyasi to'xtatilgan 9.6 filiali uchun oxirgi yangilanish bo'ladi. 10-filial uchun yangilanishlar 2022-yil noyabrgacha, 11-noyabr 2023-yilgacha, 12-noyabr 2024-yilgacha, 13-noyabr 2025-yilgacha, 14-noyabr 2026-yilgacha ishlab chiqariladi.
Yangi versiyalar 40 dan ortiq tuzatishlarni taklif qiladi va server jarayoni va libpq mijozlar kutubxonasidagi ikkita zaiflikni (CVE-2021-23214, CVE-2021-23222) yo'q qiladi. Zaifliklar tajovuzkorga MITM hujumi orqali shifrlangan aloqa kanaliga kirishga imkon beradi. Hujum haqiqiy SSL sertifikatini talab qilmaydi va sertifikat yordamida mijoz autentifikatsiyasini talab qiladigan tizimlarga qarshi amalga oshirilishi mumkin. Server kontekstida hujum mijozdan PostgreSQL serveriga shifrlangan ulanishni o'rnatish vaqtida o'zingizning SQL so'rovingizni almashtirishga imkon beradi. libpq kontekstida zaiflik tajovuzkorga mijozga soxta server javobini qaytarishga imkon beradi. Birlashtirilganda, zaifliklar mijozning paroli yoki ulanishning boshida uzatilgan boshqa maxfiy ma'lumotlar haqidagi ma'lumotlarni olib tashlash imkonini beradi.
Bundan tashqari, Yandex tomonidan PostgreSQL DBMSga ochiq ulanishlar pulini saqlash va so'rovlarni marshrutlashni tashkil qilish uchun mo'ljallangan Odyssey 1.2 proksi-serverining yangi versiyasi nashr etilganini ta'kidlashimiz mumkin. Odyssey ko'p tarmoqli ishlov beruvchilar bilan bir nechta ishchi jarayonlarni ishga tushirishni, mijoz qayta ulanganda bir xil serverga yo'naltirishni va ulanish hovuzlarini foydalanuvchilar va ma'lumotlar bazalariga ulash qobiliyatini qo'llab-quvvatlaydi. Kod C tilida yozilgan va BSD litsenziyasi ostida tarqatiladi.
Odyssey-ning yangi versiyasi SSL seansini muhokama qilgandan so'ng ma'lumotlarni almashtirishni blokirovka qilish uchun himoyani qo'shadi (yuqorida qayd etilgan CVE-2021-23214 va CVE-2021-23222 zaifliklari yordamida hujumlarni bloklash imkonini beradi). PAM va LDAP-ni qo'llab-quvvatlash amalga oshirildi. Prometey monitoring tizimi bilan qo'shilgan integratsiya. Tranzaktsiyalar va so'rovlarni bajarish vaqtlarini hisobga olish uchun statistik parametrlarni hisoblash yaxshilandi.
Manba: opennet.ru