岩猫星空网PostgreSQL 全球开发组针对当前所有被支持版本发布了一次更新，版本包括：15.4、14.9、13.12、12.16 和 11.21，以及 PostgreSQL 16 的第三个测试版。此版本修复了两个安全漏洞并修复了过去几个月报告的 40 多个bug。
如果你使用 BRIN索引来查找NULL值，则升级到此版本后需要重新索引它们。在 PostgreSQL 12 及更高版本上，你可以使用REINDEX CONCURRENTLY以避免阻止对受影响的索引和表的写入，例如：REINDEX INDEX CONCURRENTLY your_index_name;
有关更改的完整列表，可查看发行说明。
PostgreSQL 11 将于 2023 年 11 月 9 日停止接收修复。如果你在生产环境中运行 PostgreSQL 11，建议制定计划升级到更新的受支持版本的 PostgreSQL。参阅版本控制政策以获取更多信息。
CVE-2023-39417：引用中的扩展脚本@substitutions@允许 SQL 注入。
支持的、易受攻击的版本：11 – 15。安全团队通常不会测试不受支持的版本，但这个问题已经存在很久了。
如果扩展脚本在 quoting 结构 (dollar quoting,'', or"") 内使用@extowner@、@extschema@或@extschema:…@，则容易受到攻击。没有捆绑的扩展名存在漏洞。在文档示例和非捆绑扩展中确实存在漏洞。因此，攻击的先决条件是管理员安装了易受攻击的、受信任的、非捆绑扩展的文件。在这一前提条件下，拥有数据库级CREATE权限的攻击者就能以引导超级用户身份执行任意代码。PostgreSQL 将在核心服务器中阻止这种攻击，因此无需修改个别扩展。
CVE-2023-39418：MERGE无法强制执行UPDATE或SELECT行安全策略。
支持的、易受攻击版本：15。
PostgreSQL 15 引入了MERGE命令，该命令无法根据为UPDATE和SELECT定义的行安全策略测试新行。如果UPDATE和SELECT策略禁止某些行，而INSERT策略不禁止，则用户可以存储此类行。后续后果取决于应用程序。这仅影响用于CREATE POLICY定义行安全策略的数据库。
下面列出的问题会影响 PostgreSQL 15，其中一些问题也可能会影响其他受支持的 PostgreSQL 版本。
有关可用更改的完整列表，可查看发行说明。
参阅发行说明以获取新功能和更改功能的完整列表。
未经允许不得转载：岩猫星空网 » PostgreSQL 15.4、14.9、13.12、12.16、11.21 和 16 Beta 3 发布
