PostgreSQL La base de donnees la plus sophistiquee au monde.

Sécurité

Fil des billets

lundi 25 novembre 2013

Risque de corruption sur les "esclaves" en Hot-Standby

Le 18 novembre, un problème de réplication a été découvert dans les dernières versions de PostgreSQL. Ce problème peut causer des corruptions de données sur un serveur secondaire ("esclave") en Hot-Standby au (re)démarrage de celui-ci.

Les versions concernées sont les suivantes: 9.3.0, 9.3.1, 9.2.5, 9.1.10 et 9.0.14.

Tous les détails techniques concernant ce problème (et comment s'en protéger) sont décrits sur la page ci-dessous :

https://wiki.postgresql.org/wiki/Nov2013ReplicationIssue

Un correctif est en cours de préparation et devrait être disponible en début de semaine prochaine.

D'ici là, la vigilance est de mise si vous utilisez la réplication Hot Standby.

jeudi 4 avril 2013

Mises à jour mineures de PostgreSQL : 9.2.4, 9.1.9, 9.0.13, 8.4.17

Ceci est une traduction libre de l'annonce officielle disponible ici : http://www.postgresql.org/about/news/1456/

Le groupe de développement de PostgreSQL sort une mise à jour de sécurité pour toutes les versions stables du SGBD PostgreSQL. Cela inclut les versions 9.2.4, 9.1.9, 9.0.13 et 8.4.17. Cette mise à jour corrige une faille de sécurité très critique dans les versions 9.0 et supérieures. Il est fortement recommandé à tous les utilisateurs des versions concernées d'appliquer la mise à jour immédiatement.

La faille de sécurité corrigée dans cette version a la dénomination CVE-2013-1899. Elle permettait à une requête de connexion contenant un nom de base de données commençant par ”-” d'être utilisé afin d'endommager ou de détruire des fichiers dans le répertoire de données du serveur. Quiconque ayant accès au port d'écoute de PostgreSQL peut initier une telle requête. Cette faille a été découverte par Mitsumasa Kondo et Kyotaro Horiguchi du NTT Open Source Software Center.

Deux autres correctifs de failles de sécurité moins importantes sont également inclus dans cette version: CVE-2013-1900, où un nombre généré aléatoirement par les fonctions du module contrib pgcrypto pouvait être facile à deviner par un autre utilisateur de la base de données, et CVE-2013-1901, qui permet à tort à un utilisateur non autorisé de lancer des commandes qui peuvent interférer avec une sauvegarde en cours. Finalement, cette version résout également deux problèmes de sécurité pour les installeurs graphiques pour Linux et Mac OS X : transmission non sécurisée des mots de passe super utilisateur à un script (CVE-2013-1903) et utilisation de noms de fichiers prévisibles dans /tmp (CVE-2013-1902). Marko Kreen, Noah Misch et Stegan Kaltenbrunner ont respectivement rapportés ces failles.

Nous sommes reconnaissants des efforts de chacun des développeurs pour rendre PostgreSQL plus sûr. Cette mise à jour corrige également plusieurs erreurs dans la gestion des index GiST. Après la mise à jour, il est conseillé d'utiliser un REINDEX sur chacun des index GiST qui correspondent à un des problèmes reportés ci-dessous.

Cette mise à jour contient également des correctifs à plusieurs problèmes mineurs découverts et corrigés par la communauté PostgreSQL durant les deux derniers mois, dont :

  • Corriger les index GiST pour qu'ils n'utilisent plus de comparaisons géométriques «floues» pour des colonnes de type box, polygon, circle et point.
  • Corriger un problème dans le module contrib btree_gist sur les index GiST pour des colonnes de type text, bytea et numeric.
  • Corriger un bug dans le code de séparation pour les index GiST multi-colonnes.
  • Corriger une fuite tampon dans le rejeu des WAL causant des erreurs « incorrect local pin count ».
  • S'assurer d'effectuer la restauration après un arrêt brutal avant d'entrer en restauration d'archive après un arrêt brutal lorsque le fichier recovery.conf est présent.
  • Éviter de supprimer les WAL non encore archivés lors d'une restauration après arrêt brutal.
  • Corriger un problème de séquencement critique (race condition) lors d'un DELETE RETURNING.
  • Corriger un crash possible du planificateur après l'ajout de colonnes à une vue dépendant d'une autre vue.
  • Éliminer une fuite mémoire dans la fonction spi_prepare() de PL/Perl.
  • Corriger pg_dumpall pour gérer correctement un nom de base de données contenant « = ».
  • Éviter un crash de pg_dump lorsqu'une chaîne de connexion incorrecte est utilisée.
  • Ignorer les index invalides dans pg_dump et pg_upgrade.
  • Inclure uniquement le sous-répertoire de la version courante du serveur lors d'une sauvegarde d'un tablespace avec pg_basebackup.
  • Ajouter une vérification de version de serveur dans les outils pg_basebackup et pg_receivexlog.
  • Corriger le module contrib dblink pour gérer de manière sécurisée des valeurs incohérentes des paramètres DateStyle ou IntervalStyle.
  • Corriger la fonction similarity() du module contrib pg_trgm pour retourner zéro pour les chaînes de moins d'un trigramme.
  • Permettre la compilation de PostgreSQL avec Microsoft Visual Studio 2012.
  • Mettre à jour les fichiers de données de fuseaux horaires pour les modifications de changements d'heure au Chili, Haïti, Maroc, Paraguay et quelques zones russes.

Comme avec les autres versions mineures, les utilisateurs n'ont besoin ni de sauvegarder et recharger leur instance, ni d'utiliser pg_upgrade pour appliquer cette mise à jour. Vous devez simplement arrêter PostgreSQL et mettre à jour les binaires. Les utilisateurs qui n'ont pas effectuées les mises à jour précédentes peuvent avoir quelques étapes supplémentaires. Les détails sont disponibles dans les notes de version (Release Notes). Pour cette version, il est aussi conseillé de reconstruire (REINDEX) les index de type GIST qui pourraient exister sur les bases.

Téléchargez les nouvelles versions maintenant sur : http://www.postgresql.org/download/

mardi 2 avril 2013

Mise à jour importante à prévoir le 4 avril !

Le jeudi 4 avril 2013, le groupe de développement de PostgreSQL annoncera une mise à jour de sécurité pour toutes les versions de PostgreSQL. Ce correctif corrigera une vulnérabilité majeure. Tous les administrateurs de PostgreSQL devront dès lors mettre à jour leur système le plus rapidement possible.

Les détails de la vulnérabilité ne sont pas publiés mais tout indique qu'il s'agit d'un problème très sérieux.

Cette pré-annonce est diffusée en avance pour que les mesures adéquates soient prises afin que les mises à jour soit effectuées rapidement après la sortie de l'annonce officielle le 4 avril.

Comme toujours, les mises à jours de sécurité se font très simplement en installant les nouveaux paquets et en relançant le serveur. Il n'est pas nécessaire de faire un dump/restore, ni d'utiliser pg_upgrade.

Voir l'annonce officielle : http://www.postgresql.org/about/news/1454/

mardi 8 janvier 2008

[ANNONCE] Communiqué de correctif de sécurité

Le 07 Janvier 2008

Aujourd'hui le « PostgreSQL Global Development Group » a publié des mises à jours de version, qui corrigent cinq failles de sécurité. Ces publications mettent à jour toutes les versions de PostgreSQL, de la 8.2 à la 7.3. Elles sont considérées comme CRITIQUE et les administrateurs PostgreSQL et systèmes doivent appliquer les mises à jours le plus rapidement possible. L'équipe de PostgreSQL dédiée à la sécurité a fait de gros efforts pour permettre à ces mises à jours d'être portées également sur les anciennes versions pour que la mise à jour ne nécessite pas de conversion de données.

Merci de lire le reste de ce message pour davantage d'informations complémentaires et d'annonces.

Lire la suite...

mercredi 7 février 2007

Révisions de sécurité (Mise à jour)

Le PostgreSQL Global Development Group a publié aujourd'hui une mise à jour de sécurité pour les versions antérieures de PostgreSQL : les révisions 8.0.11, 7.4.16 et 7.3.18. Ces correctifs concernent des trous de sécurité de risque moyen. Il est donc fortement conseillé d'effectuer une mise à jour rapidement.

Les révisions pour les versions 8.1 et 8.2 sont toujours en attente. Les sources publiés pour les révisions 8.2.2 et 8.1.7 ont été retirées à cause d'un bogue concernant les types de données typemod utilisés avec des contraintes de vérification ou des index d'expression. Les nouvelles révisions devraient être publiées sous 24 à 48 heures.

Lire la suite...

Attention : Révisions des versions 8.1 et 8.2 corrompues

Les derniers correctifs de sécurité publiés contiennent une faille. Celle-ci peut engendrer des erreurs lorsque des types de données de taille variable sont utilisés avec des contraintes sur ces types ou des index d'expression. Il est donc très fortement recommandé aux utilisateurs des versions 8.1 et 8.2 de ne pas installer ces correctifs pour le moment.

Le PostgreSQL Global Development Group publiera de nouvelles révisions pour les versions 8.1 et 8.2 dans les prochaines 24 à 48h. Les utilisateurs des versions 7.3 et 7.4 ne sont pas concernés et sont invités à effectuer les mises à jour. La version 8.0.11 n'est probablement pas concernée, mais les tests continuent. Toute aide pour les tests est la bienvenue.

Lire la suite...

Propulsé par Dotclear