2016-08-11 安全更新發布

PostgreSQL 全球開發團隊已發布我們資料庫系統所有支援版本的更新，包括 9.5.4、9.4.9、9.3.14、9.2.18 和 9.1.23。此版本修復了兩個安全性問題。它還修補了過去三個月中報告的其他一些錯誤。依賴資料庫使用者之間安全性隔離的使用者應盡快更新。其他使用者應計畫在下一次方便的停機時間進行更新。

安全性問題

此版本已修補了兩個安全漏洞

• CVE-2016-5423：某些巢狀 CASE 表達式可能導致伺服器崩潰。
• CVE-2016-5424：具有嵌入特殊字元的資料庫和角色名稱可能允許在管理操作（例如 pg_dumpall）期間進行程式碼注入。

第二個問題的修復還為 psql 的 \connect 命令新增了一個選項 -reuse-previous。更新後，pg_dumpall 也將拒絕處理包含換行符的資料庫和角色名稱。有關這些問題及其如何影響向後相容性的更多資訊，請參閱發布說明。

錯誤修復和改進

此更新還修復了過去幾個月中報告的一些錯誤。其中一些問題僅影響 9.5 版，但許多問題會影響所有支援的版本

• 修復 IS NULL/IS NOT NULL 與複合值的錯誤行為
• 修復 INSERT ... ON CONFLICT 與其他 SQL 功能一起使用時無法正常運作的三個區域。
• 使 INET 和 CIDR 資料類型正確拒絕錯誤的 IPv6 值
• 防止 NaN 輸入時 "point ## lseg" 運算符中的崩潰
• 避免 pg_get_expr() 中可能發生的崩潰
• 修復 to_number() 中的多個單字節緩衝區過度讀取
• 如果指定了 WITH NO DATA，則不要不必要地計畫查詢
• 避免昂貴的 heap_update() 路徑中存在不安全的崩潰狀態
• 修復行鎖定操作 WAL 重播期間的提示位更新
• 避免使用 FOR KEY SHARE 時不必要的「無法序列化存取」
• 當指定的變數為空字串時，避免 postgres -C 中的崩潰
• 修復邏輯解碼和子交易的兩個問題
• 確保後端看到共享目錄的最新統計資訊
• 防止在升級的資料庫中清除 multixact ID 時可能發生的故障
• 當手動 ANALYZE 指定欄位時，不要重置 changes_since_analyze
• 修復 ANALYZE 對具有空值的欄位 n_distinct 的高估
• 修復 b-tree 標記/還原處理中的錯誤
• 修復大型（大於 shared_buffers）哈希索引的建立
• 防止使用 NaN 值建立 GiST 索引時出現無限循環
• 修復最近鄰近索引掃描期間可能發生的崩潰
• 修復「PANIC：failed to add BRIN tuple」錯誤
• 防止背景工作程序關閉期間可能發生的崩潰
• 修復平行 pg_dump 和 pg_restore 中的許多問題
• 使 pg_basebackup 接受 -Z 0 作為無壓縮
• 使迴歸測試對於丹麥語和威爾斯語地區設定是安全的

libpq 客戶端程式庫也已更新，以支援未來的兩部分 PostgreSQL 版本號碼。此更新還包含 tzdata 版本 2016f，其中包含 Kemerovo、Novosibirsk、Azerbaijan、Belarus 和 Morocco 的更新。

9.1 版的終止服務 (EOL) 警告

PostgreSQL 9.1 版將於 2016 年 9 月終止服務。該專案預計僅發布該版本的一個更新。我們敦促使用者盡快開始計畫升級到更高版本的 PostgreSQL。有關更多資訊，請參閱我們的版本控制政策。

更新

所有 PostgreSQL 更新版本都是累加的。與其他次要版本一樣，使用者不需要轉儲並重新載入其資料庫或使用 pg_upgrade 才能套用此更新版本；您可以簡單地關閉 PostgreSQL 並更新其二進位檔。跳過一個或多個更新版本的使用者可能需要執行其他更新後步驟；請參閱早期版本的發布說明以瞭解詳細資訊。

連結：* 下載 * 發布說明 * 安全性頁面 * 版本控制政策