News Archive - 安全相关 (through May 12, 2022)

PostgreSQL 安全相关 社区相关 社区会议 其他会议 相关开源软件 用户组 PG 每周新闻 专有软件

PostgreSQL 14.3、13.7、12.11、11.16 和 10.21 发布！

PostgreSQL 全球开发组发布了所有受支持 PostgreSQL 版本的更新，包括 14.3、13.7、12.11、11.16 和 10.21。本次发布修复了一个安全漏洞以及过去三个月报告的 50 多个 Bug。 我们建议您尽早安装此更新。 如果您在使用 ltree (https://www.postgresql.org/docs/current/ltree.html) 数据类型的列上有 GiST 索引，升级后需要对其进行重建索引 (https://www.postgresql.org/docs/current/sql-reindex.html)。 完整的变更列表请查看发布说明 (https://www.postgresql.org/docs/release/)。 …

Read more...

pgAdmin 4 v6.7 发布

pgAdmin 开发团队很高兴地宣布 pgAdmin 4 v6.7 版本发布。本次发布包含 4 项 bug 修复。更多详情请参阅发布说明 (https://www.pgadmin.org/docs/pgadmin4/6.7/release_notes_6_7.html)。 pgAdmin 是 PostgreSQL 领先的开源图形化管理工具。更多信息请访问官方网站 (https://www.pgadmin.org/)。 安全更新 请注意，本次发布包含一项安全更新，修复了在服务器模式下运行 pgAdmin 时，用户可以将文件上传到其存储目录以外的目录的问题。 …

Read more...

PostgreSQL JDBC 42.3.3 发布

已为 PostgreSQL JDBC 驱动程序创建了一项安全公告 (https://github.com/pgjdbc/pgjdbc/security/advisories/GHSA-673j-qm5f-xpv8)。URL 连接字符串的 loggerFile 属性可能被滥用，在驱动程序加载的系统上创建任意文件。此外，连接字符串中的所有内容都会被记录并写入该文件。在不安全的系统中，攻击者可能通过 Web 服务器执行该文件。 虽然我们不认为这是驱动程序的安全问题，但我们已决定在驱动程序的下一个版本中移除 loggerFile 和 loggerLevel 连接属性。移除这些属性并不意味着向攻击者暴露 JDBC URL 或连接属性是安全的，我们仍然建议应用程序不允许不受信任的用户指定任意连接属性。 我们移除这些属性是为了防止滥用，其功能可以委托给 java.util.logging。变更日志不太有用，因为更改是在安全公告背后完成的。简而言之，loggerFile …

Read more...

PostgreSQL JDBC 42.3.2/42.2.25 安全更新

已为 PostgreSQL JDBC 驱动程序创建了一项安全公告 (https://github.com/advisories/GHSA-v7wg-cpwc-24m4)。该驱动程序提供了根据通过 authenticationPluginClassName、sslhostnameverifier、socketFactory、sslfactory、sslpasswordcallback 连接属性提供的类名来实例化插件实例的功能。 然而，驱动程序在实例化类之前并未验证该类是否实现了预期的接口。 修复方案是确保类实现了预期的接口。此问题已在 42.2.25 和 42.3.2 版本中修复。此外，以下是 42.3.2 中的一些变更，完整变更日志可在此处查看 (https://jdbc.postgresql.org/documentation/changelog.html#version_42.3.2)。 变更 性能优化：在连接时读取 in_hot_standby GUC …

Read more...

News articles are either from the PostgreSQL project or contributeed by other related organisations. If you wish to share news related to PostgreSQL, you may submit your own articles for consideration after logging in.