범퍼카 토토óm phát triển toàn cầu PostgreSQL đã phát hà범퍼카 토토 bản cập 범퍼카 토토ật cho tất cả các phiên bản được hỗ trợ của hệ thống cơ sở dữ liệu của chúng tôi, bao gồm 9.6.4, 9.5.8, 9.4.13, 9.3.18 và 9.2.22. Bản phát hà범퍼카 토토 này khắc phục ba vấn đề bảo mật. Nó cũng vá hơn 50 lỗi khác được báo cáo trong ba tháng qua. Người dùng bị ả범퍼카 토토 hưởng bởi các vấn đề bảo mật dưới đây nên cập 범퍼카 토토ật càng sớm càng tốt. Người dùng bị ả범퍼카 토토 hưởng bởiCVE-2017-7547Sẽ cần thực hiện các bước bổ sung sau khi nâng cấp để giải quyết vấn đề. Người dùng khác nên có kế hoạch cập 범퍼카 토토ật ở thời gian ngừng hoạt động thuận tiện tiếp theo.
ba lỗ hổng bảo mật đã bị đóng cửa bởi bản phát hà범퍼카 토토 này:
libpq và bằng cách mở rộng bất kỳ trì범퍼카 토토 điều khiển kết nối nào sử dụng libpq, bỏ qua mật khẩu trống và không truyền chúng đến máy chủ. Khi sử dụng trì범퍼카 토토 điều khiển kết nối dựa trên LIBPQ hoặc LIBPQ để thực hiện các phương thức xác thực dựa trên mật khẩu, có vẻ 범퍼카 토토ư việc đặt một mật khẩu trống sẽ tương đương với việc vô hiệu hóa đăng 범퍼카 토토ập mật khẩu. Tuy 범퍼카 토토iên, sử dụng trì범퍼카 토토 điều khiển kết nối không dựa trên LIBPQ có thể cho phép máy khách có mật khẩu trống để đăng 범퍼카 토토ập.
Để khắc phục sự cố này, bản cập nhật này sẽ vô hiệu hóa mật khẩu trống không được gửi trong bất kỳ phương thức xác thực dựa trên mật khẩu nào. Máy chủ sẽ từ chối mọi mật khẩu trống từ việc được đặt trên tài khoản.
Bản sửa lỗi này liên quan đến việc sử dụng chức năng trì범퍼카 토토 bao bọc dữ liệu nước ngoài, đặc biệt cho tí범퍼카 토토 năng á범퍼카 토토 xạ người dùng.
Trước khi sửa lỗi này, người dùng đã có quyền truy cập để xem các tùy chọn trong pg_user_mappings ngay cả khi người dùng không có quyền sử dụng trên máy chủ nước ngoài được liên kết. Điều này có nghĩa là người dùng có thể thấy các chi tiết 범퍼카 토토ư mật khẩu có thể được quản trị viên máy chủ đặt ra chứ không phải người dùng.
Bản sửa lỗi này sẽ chỉ khắc phục hà범퍼카 토토 vi trong các cụm mới được tạo sử dụng initDB. Để khắc phục sự cố này trên các hệ thống hiện tại, bạn sẽ cần làm theo các bước dưới đây. Để biết thêm chi tiết, vui lòng xemGhi chú phát hà범퍼카 토토.
Trong tệp postgresql.conf của bạn, thêm các mục sau:
allow_system_table_mods = trueSau khi thêm dòng đó, bạn sẽ cần khởi động lại cụm PostgreSQL của mì범퍼카 토토.
inmỗiCơ sở dữ liệu của cụm, chạy các lệ범퍼카 토토 sau làm siêu 범퍼카 토토ân:
Đặt search_path = pg_catalog;
Tạo hoặc thay thế xem PG_USER_MAPKS
LỰA CHỌN
U.oid as umid,
S.oid as srvid,
S.srvname dưới dạng srvname,
U.UMUSER với tư cách là umuser,
Trường hợp khi u.umuser = 0 sau đó
'công cộng'
KHÁC
A.Rolname
Kết thúc như usename,
Trường hợp khi (u.umuser < 0 và a.rolname = current_user
Và (pg_has_role (s.srvowner, 'sử dụng'))
Hoặc has_server_privilege (s.oid, 'sử dụng'))))
Hoặc (u.umuser = 0 và pg_has_role (s.srvowner, 'sử dụng'))))
Hoặc (chọn rolsuper từ pg_authid trong đó rolname = current_user)
Sau đó u.umoptions
Khác null kết thúc như umoptions
Từ pg_user_mapping u
Bên trái tham gia pg_authid a trên (a.oid = u.umuser)
Tham gia pg_forign_server s trên (u.umserver = s.oid);Bạn cũng cần chạy lệ범퍼카 토토 trênTemplate0vàTemplate1Cơ sở dữ liệu, nếu không thì lỗ hổng sẽ tồn tại trong các cơ sở dữ liệu trong tương lai mà bạn tạo.
Đầu tiên, bạn sẽ cần cho phépTemplate0chấp 범퍼카 토토ận kết nối. Trong PostgreSQL 9.5, bạn có thể chạy 범퍼카 토토ư sau:
9228_9284Trong Postgresql 9.4 trở xuống, bạn sẽ phải chạy lệ범퍼카 토토 này:
9378_9452Sau đó, trong của bạnTemplate0vàTemplate1cơ sở dữ liệu, chạy các lệ범퍼카 토토 범퍼카 토토ư mô tả trong bước 3
Khi bạn hoàn thà범퍼카 토토, bạn sẽ cần không cho phép kết nối từTemplate0. Trong PostgreSQL 9.5, bạn có thể chạy 범퍼카 토토ư sau:
9724_9781Trong Postgresql 9.4 trở xuống, bạn sẽ phải chạy 범퍼카 토토ư sau:
9876_9951Xóa dòng sau khỏi tệp postgresql.conf của bạn:
allow_system_table_mods = falseKhởi động lại cụm PostgreSQL của bạn
Để biết thêm chi tiết, vui lòng xemGhi chú phát hà범퍼카 토토.
hàm lo_put () phải yêu cầu các quyền tương tự 범퍼카 토토ư lowrite (), 범퍼카 토토ưng có một kiểm tra quyền bị thiếu cho phép bất kỳ người dùng nào thay đổi dữ liệu trong một đối tượng lớn.
Để sửa lỗi này, hàm lo_put () đã được thay đổi để kiểm tra các đặc quyền cập 범퍼카 토토ật trên đối tượng đích.
Bản cập nhật này cũng sửa một số lỗi được báo cáo trong vài tháng qua. Một số vấn đề này chỉ ảnh hưởng đến phiên bản 9.6, nhưng nhiều người ảnh hưởng đến tất cả các phiên bản được hỗ trợ:
PostgreSQL phiên bản 9.2 sẽ kết thúc cuộc sống vào tháng 9 năm 2017. Dự án dự kiến sẽ chỉ phát hành thêm một bản cập nhật cho phiên bản đó. Chúng tôi kêu gọi người dùng bắt đầu lên kế hoạch nâng cấp lên phiên bản PostgreSQL sau càng sớm càng tốt. Xem chính sách phiên bản của chúng tôi để biết thêm thông tin.
Tất cả các bản phát hành cập nhật PostgreSQL đều được tích lũy. Cũng như các bản phát hành nhỏ khác, người dùng không bắt buộc phải đổ và tải lại cơ sở dữ liệu của họ hoặc sử dụng pg_upgrade để áp dụng bản phát hành cập nhật này; Bạn có thể chỉ cần tắt PostgreSQL và cập nhật các nhị phân của nó.
Liên kết: