2010-05-17 PostgreSQL 安全性更新

發布於 2010-05-14

PostgreSQL 專案今日發布了次要版本,更新了 PostgreSQL 物件關聯式資料庫系統的所有活躍分支,包括版本 8.4.4、8.3.11、8.2.17、8.1.21、8.0.25 和 7.4.29。此版本修復了 PL/perl 和 PL/tcl 中存在的中度風險安全性問題,以及備用資料庫中的資料損毀問題。使用任何這些

三種功能的用戶應立即更新其 PostgreSQL 安裝。

PL/perl 安全性修復程式關閉了 PL/perl 程序中的一個安全性漏洞,該漏洞可能允許主機系統上的權限提升,這是由於 Safe.pm 中的缺陷造成的;詳情請參閱 CVE-2010-1169CVE-2010-1447。第二個修補程式可防止 PL/tcl 的 pltcl_modules 表

為了執行任意 Tcl 腳本而被破壞;詳情請參閱 CVE-2010-1170。這些問題僅影響已啟用這兩種儲存程序語言之一的用戶。

此外,還更正了 ALTER TABLE SET TABLESPACE 命令的使用,該命令之前可能導致 Warm Standby 資料庫從站上的資料損毀。此問題僅影響 8.4 版本。

此更新版本中修補的問題也影響 9.0 Beta 1 版本,並將在即將發布的 9.0 Beta 2 版本中得到更正。

此版本還有 21 個其他錯誤修復,其中一些僅適用於 8.4 版本,其中一些專門針對 Windows。雖然這些通常是針對次要問題的修復,但這些變更包括

  • 修復了組合崩潰狀況
  • 防止一般使用者重設其自身角色定義中的某些 GUC
  • 正確地在 UPDATE 和 DELETE 查詢中應用約束排除
  • WAL 封存的次要修復
  • 更新 12 個時區的時區資料

請參閱發布說明以獲取包含詳細資訊的完整變更清單。

與其他次要版本一樣,使用者無需轉儲並重新載入其資料庫即可應用此更新版本;您可以簡單地關閉 PostgreSQL 並更新其二進位檔案。跳過多次更新的使用者可能需要檢查發布說明以獲取額外的更新後步驟。

PostgreSQL 全球開發團隊將於 2010 年 6 月之後停止發布 PostgreSQL 7.4 和 8.0 版本的更新。我們敦促這些版本的用戶現在開始規劃升級。

這篇文章是從舊版本的 PostgreSQL 網站遷移過來的。對於遷移造成的任何格式問題,我們深感抱歉。