PostgreSQL 13.3、12.7、11.12、10.17和9.6.22发布了！

原创

于 2021-05-14 10:13:28 发布 · 置顶 · 3.1k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#postgresql #数据库

PostgreSQL 全球开发小组发布了 13.3、12.7、11.12、10.17 和 9.6.22 版本更新，关闭了三个安全漏洞，包括整数溢出导致的缓冲区溢出、INSERT … ON CONFLICT … DO UPDATE 中的内存公开和分区表中 UPDATE … RETURNING 的内存公开问题。此外，还修复了45个以上错误，涉及更新计算、外键约束处理、索引生成等多个方面。9.6 版本将于2021年11月11日停止接收修复，建议用户升级到更高版本。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本文转自：https://www.postgresql.org/about/news/postgresql-133-127-1112-1017-and-9622-released-2210/

首发：https://pgfans.cn/a?id=1076

PostgreSQL 13.3、12.7、11.12、10.17和9.6.22发布了！

发表于2021-05-13 by PostgreSQL Global Development Group

PostgreSQL全球开发小组发布了对我们数据库系统所有受支持版本的更新，包括13.3、12.7、11.12、10.17和9.6.22。此版本关闭了三个安全漏洞，并修复了过去三个月中报告的45个以上的错误。

有关更改的完整列表，请查看发行说明。

安全问题

CVE-2021-32027：数组下标计算中的整数溢出导致缓冲区溢出
受影响的版本：9.6-13
安全团队通常不会测试不支持的版本，但是这个问题已经很老了。
在修改某些SQL数组值时，缺少边界检查可让经过身份验证的数据库用户将任意字节写入服务器内存的广阔区域。
PostgreSQL项目感谢Tom Lane报告此问题。

CVE-2021-32028：中的内存公开INSERT … ON CONFLICT … DO UPDATE
受影响的版本：9.6-13
安全团队通常不会测试不支持的版本。该功能首次出现在9.5中。
INSERT … ON CONFLICT … DO UPDATE攻击者可以使用特定目的表上的命令来读取服务器内存的任意字节。在默认配置中，任何经过身份验证的数据库用户都可以创建必备对象并随意完成此攻击。在所有数据库上都缺少CREATE和TEMPORARY特权，而CREATE在所有架构上都没有特权的用户不能随意使用此攻击。
PostgreSQL项目感谢Andres Freund