Разработчики PostgreSQL вчера выпустили апдейт для всех текущих версий PostgreSQL. Обновления 9.2.4, 9.1.9 и.0.13 закрывают очень серьёзную уязвимость в СУБД, так что всем пользователям рекомендуют обновиться немедленно, тем более что их предупреждали заранее о скором выпуске апдейта, и даже был временно закрыт доступ к репозиториям проекта. Хотя доступ к репозиториям был закрыт, провайдер облачного хостинга Heroku и некоторые другие получили обновление PostgreSQL в срочном порядке до выхода официального апдейта.
Пользователи 8.4 и более ранних версий не подвержены самой опасной уязвимости, но для них тоже вышел новый апдейт 8.4.17, закрывающий менее значительные баги (см. ниже).
Опубликовано также описание краткое уязвимости CVE-2013-1899, которая позволяет с помощью удалённого запроса на установление соединения с сервером повредить или уничтожить данные на сервере. Особенно опасно это для СУБД, которые размещаются в открытом облаке. Уязвимость обнаружили японские исследователи из NTT Open Source Software Center.
Эксплойты ещё не появились в открытом доступе, но в случае их появления станет возможным легко выводить из строя серверы с PostgreSQL, осуществлять повышение привилегий до суперюзера и выполнять произвольный код.
Кроме этой, апдейт закрывает ещё две менее серьёзные уязвимости CVE-2013-1900 и CVE-2013-1901. В первом случае речь идёт о слабости генератора случайных чисел contrib/pgcrypto, во втором случае — о возможности пользователя без привилегий вмешиваться в текущий процесс бэкапа.
В конце концов, апдейт PostgreSQL закрывает две уязвимости с графическими инсталляторами под Linux и Mac OS X, связанные с небезопасной передачей паролей суперюзера в скрипт и предсказуемым именованием файлов в /tmp.
