11.5, 10.10, 9.6.15, 9.5.19, 9.4.24 リリース (2019-08-08)

By harukat, 13 8月, 2019

2019年8月8日、PostgreSQLのマイナーバージョンアップ 11.5、10.10、9.6.15、9.5.19、9.4.24 がリリースされました。

バグ修正のリリースとなります。また、いくつかのセキュリティ修正が含まれています。以下ページに詳しいリリース内容説明があります。

https://www.postgresql.org/about/news/1960/

セキュリティ修正の事項は以下です。

  • CVE-2019-10208

    • 9.4系～11系まで該当します。
    • 一時オブジェクト用の pg_tempスキーマのデータ型を使って、SECURITY DEFINERでの実行時に関数所有者として任意SQLを実行する攻撃が可能でした。
    • 関数風の型キャスト構文で一時スキーマ上のデータ型に型キャストするには、pg_tempスキーマを明示的に指定することが必須となりました。

  • CVE-2019-10209

    • 11系で該当します。
    • ハッシュされたサブプランに対して型をまたがる比較をする場合にメモリ露出が起きる可能性がありました。
    • 具体的な攻撃例は確認されていません。

  • CVE-2019-10210、CVE-2019-10211

    • EnterpriseDB版のWindowsむけインストーラの問題です（9.4系～11系まで該当）。
    • インストール時にパスワードを保護されていない一時ファイルに書く動作があり、当該サーバ内のユーザから攻撃される可能性があり、対策されました。
    • 当該サーバ内（PostgreSQLのクライアント側も）のユーザから、OpenSSLのライブラリ（ libeay32.dll ）を置き換えられる攻撃を受ける可能性があり、対策されました。

タグ

コメント