2025 년 7 월 17 일 : | 윈 토토 : 윈 토토 18 베타 2 릴리스

2017-08-10 보안 범퍼카 토토 릴리스

게시 된2017-08-10토토 사이트

토토 사이트은 9.6.4, 9.5.8, 9.4.13, 9.3.18 및 9.2.22를 포함하여 모든 지원되는 버전의 데이터베이스 시스템에 대한 범퍼카 토토를 발표했습니다. 이 릴리스는 세 가지 보안 문제를 수정합니다. 또한 지난 3 개월 동안보고 된 50 개가 넘는 다른 버그가 패치됩니다. 아래 보안 문제의 영향을받는 사용자는 가능한 빨리 범퍼카 토토해야합니다. 영향을받는 사용자CVE-2017-7547문제 해결을 위해 업그레이드 한 후 추가 단계를 수행해야합니다. 다른 사용자는 다음 편리한 가동 중지 시간에 범퍼카 토토를 계획해야합니다.

보안 문제

이 릴리스에서 3 개의 보안 취약점이 종료되었습니다.

  • CVE-2017-7546: 일부 인증 방법에서 허용되는 빈 암호
  • CVE-2017-7547: "PG_USER_MAPPINGS"카탈로그보기는 서버 권한이없는 사용자에게 암호를 공개합니다
  • CVE-2017-7548: lo_put () 함수는 ACL을 무시합니다

CVE-2017-7546 : 일부 인증 방법에서 허용되는 빈 비밀번호

libpq, 그리고 libpq를 사용하는 모든 연결 드라이버, 빈 비밀번호를 무시하고 서버로 전송하지 않습니다. 비밀번호 기반 인증 방법을 수행하기 위해 LiBPQ 또는 LiBPQ 기반 연결 드라이버를 사용하는 경우 빈 암호를 설정하는 것이 비밀번호 로그인을 비활성화하는 것과 같습니다. 그러나 비 LIBPQ 기반 연결 드라이버를 사용하면 빈 비밀번호가있는 클라이언트가 로그인 할 수 있습니다.

이 문제를 해결하려면이 범퍼카 토토는 비밀번호 기반 인증 방법에서 빈 암호가 제출되는 것을 비활성화합니다. 서버는 계정에서 빈 비밀번호가 설정되는 것을 거부합니다.

CVE-2017-7547 : "PG_USER_MAPPINGS"카탈로그보기는 서버 권한이없는 사용자에게 암호를 공개합니다

이 수정은 특히 사용자 매핑 기능에 대한 외국 데이터 래퍼 기능의 사용과 관련이 있습니다.

이 수정 전에 사용자가 관련 외국 서버에 대한 사용 권한이없는 경우에도 PG_USER_MAPPINGS의 옵션을 볼 수있는 액세스 권한이있었습니다. 이는 사용자가 사용자가 아닌 서버 관리자가 설정했을 수있는 비밀번호와 같은 세부 사항을 볼 수 있음을 의미했습니다.

이 수정은 initdb를 사용하는 새로 생성 된 클러스터의 동작 만 수정합니다. 기존 시스템 에서이 문제를 해결하려면 아래 단계를 따라야합니다. 자세한 내용은를 참조하십시오.릴리스 노트.

  1. postgresql.conf 파일에 다음을 추가하십시오.

    allow_system_table_mods = true

  2. 해당 라인을 추가 한 후 PostgreSQL 클러스터를 다시 시작해야합니다.

  3. in각클러스터의 데이터베이스, 다음 명령을 슈퍼업자로 실행합니다 :

    SET SEARCH_PATH = PG_CATALOG;
보기 PG_USER_MAPPINGS를 생성하거나 교체하십시오
선택하다
    U. UMID로서,
    srvid로서 S.Oid,
    srvname으로 s.srvname,
    U.UMUSER로 UMUSER,
    u.umuser = 0 인 경우
        '공공의'
    또 다른
        a.rolname
    UseName으로 끝나고
    경우 (u.umuser < 0 및 a.rolname = current_user
                 그리고 (PG_HAS_ROLE (s.srvowner, 'usage')
                      또는 has_server_privilege (s.oid, 'usage')))))
                또는 (u.umuser = 0 및 pg_has_role (s.srvowner, 'usage')))))
                또는 (rolname = current_user에서 pg_authid에서 rolsuper를 선택하십시오)
                그런 다음 u.umoptions
             그렇지 않으면 널 끝이 umoptions로 끝납니다
pg_user_mapping u에서
왼쪽 가입 pg_authid a on (a.oid = u.umuser)
PG_FOREIGN_SERVER S를 ON (u.umserver = s.oid); 가입하십시오.

  4. 당신은 또한 당신의 명령을 실행해야합니다template0andtemplate1데이터베이스, 그렇지 않으면 취약점은 미래의 데이터베이스에 존재합니다.

    먼저 허용해야합니다Template0연결을 수락합니다. PostgreSQL 9.5에서 다음을 실행할 수 있습니다.

    allow_connections true를 사용하여 데이터베이스 템플릿을 변경하십시오.

    Postgresql 9.4 이하에서 다음 명령을 실행해야합니다.

    범퍼카 토토 pg_database set datallowconn = true 위치 datname = 'template0';

    그런 다음Template0andtemplate1데이터베이스, 3 단계에서 설명대로 명령을 실행합니다

    완료되면 연결을 허용하지 않아야합니다.Template0. PostgreSQL 9.5에서 다음을 실행할 수 있습니다.

    allow_connections가있는 Alter Database Template0;

    Postgresql 9.4 이하에서 다음을 실행해야합니다.

    범퍼카 토토 pg_database set datallowconn = false where datname = 'template0';

  5. postgresql.conf 파일에서 다음 줄을 제거하십시오 :

    allow_system_table_mods = false

  6. PostgreSQL 클러스터를 다시 시작합니다

자세한 내용은를 참조하십시오.릴리스 노트.

CVE-2017-7548 : LO_PUT () 함수는 ACL을 무시합니다

LO_PUT () 함수는 LowRite ()와 동일한 권한을 요구하지만, 사용자가 큰 오브젝트에서 데이터를 변경할 수있는 권한 점검이 누락되었습니다..

이 문제를 해결하려면 LO_PUT () 함수가 변경되었습니다. 대상 개체의 범퍼카 토토 권한을 확인했습니다.

버그 수정 및 개선

이 범퍼카 토토는 지난 몇 개월 동안보고 된 여러 버그를 수정합니다. 이러한 문제 중 일부는 버전 9.6에만 영향을 미치지 만 많은 사람들이 지원되는 모든 버전에 영향을 미칩니다.

  • pg_upgrade : 기본 및 대지가 안전하게 동기화되도록 대기 서버를 업그레이드하는 프로세스에 대한 문서를 수정했습니다. 또한 마지막 WAL 레코드에 "wal_level = minimum"이 없도록하기위한 수정이 포함되어있어 재시작시 대기가 연결되는 것을 방지 할 수 있습니다
  • 일부 범퍼카 토토가 실패 할 수있는 동시 잠금 경주 조건으로 문제를 해결하십시오
  • 낮은 확률 데이터 손상 시나리오에 대한 몇 가지 수정
  • 메모리에서 10 억 개가 넘는 튜플을 정렬 할 때 충돌을 방지하기위한 수정
  • 공유 메모리 주소를 할당 할 수없는 경우 프로세스를 만들기 위해 Windows를 수정하여 일반적으로 바이러스 백신 소프트웨어 간섭으로 인한
  • GSS/SASL 및 SSPI 인증을 사용하여 연결 실패가 제대로 재설정되도록 LIBPQ에서 수정하십시오
  • SSL 연결 처리 및 로깅에 대한 수정
  • 집계 함수의 인수 내에있는 하위 선택 문서에서 창 함수를 사용할 수 있도록 수정
  • 쿼리에서 복사 할 때 복사 할 때 쿼리 계획에서 병렬성 허용
  • 테이블 변경을위한 몇 가지 수정
  • ALTER 사용자가 설정하고 ALTER 역할을 수행하도록 수정 ... 세트는 동일한 구문 변형을 수락합니다
  • 통계 수집가에 대한 수정, 우체국 마스터 셧다운 요청 직후에 통계 요청이 디스크에 기록됩니다
  • 대기 프로모션 중에 유효하지 않은 WAL 세그먼트의 가능한 생성 수정
  • 여러 Walsender / Walreceiver 수정, 특히 신호 처리 및 셧다운 / 재시작
  • 디스크로의 작은 서브 트랜잭션 누출 제거를 포함한 여러 논리 디코딩 수정
  • 외국 테이블 생성을 실행할 때 체크 제약이 처음에 유효하지 않도록 허용
  • Alter Server / Alter 사용자 매핑 명령 및 응답이없는 서버에서 탈출 할 수있는 능력 향상 후 변경 사항을 신속하게 적용하기 위해 Postgres_FDW에 대한 수정
  • PG_DUMP 및 PG_RESTORE에 대한 몇 가지 수정 사항 (Windows에서 stdout에 대한 pg_dump 출력 수정을 포함하여
  • PG_DUMP의 수정과 유사한 PG_BASEBACKUP 출력 수정
  • PG_REWIND를 수정하여 2GB를 초과하는 파일을 올바르게 처리하려면 이러한 크기의 파일이 거의 표시되지 않아야합니다
  • 주로 소싱 라이브러리 주변에 Microsoft Visual C (MSVC)를 사용하여 PostgreSQL을 구축하기위한 몇 가지 수정 사항

버전 9.2에 대한 EOL 경고

PostgreSQL 버전 9.2는 2017 년 9 월에 수명이 끝날 것입니다.이 프로젝트는 해당 버전에 대해 하나의 범퍼카 토토가 하나만 출시 될 것으로 예상합니다. 사용자는 가능한 빨리 PostgreSQL의 이후 버전으로 업그레이드를 계획 할 것을 촉구합니다. 자세한 내용은 버전 관리 정책을 참조하십시오.

범퍼카 토토

모든 PostgreSQL 범퍼카 토토 릴리스는 누적됩니다. 다른 사소한 릴리스와 마찬가지로, 사용자는이 범퍼카 토토 릴리스를 적용하기 위해 데이터베이스를 덤프하고 다시로드하거나 PG_UPGRADE를 사용하지 않아도됩니다. PostgreSQL을 종료하고 바이너리를 범퍼카 토토 할 수 있습니다.

링크 :