OSDN -- 开发和下载开源软件
简体中文翻译状态 translation status for zh

RSS Back to release list
Download List

项目描述

pg_dbms_stats makes fixed planner statistics and manages query plans.

From pg_dbms_stats13, pg_dbms_stats13 has moved to Github. See Github for information on later versions. See OSDN for information on pg_dbms_stats12 and earlier.

pg_dbms_stats : https://github.com/ossc-db/pg_dbms_stats

系统要求

System requirement is not defined

发布: 2020-10-27 16:45
pgdbmsstats 1.4.1 (7 files 隐藏)

发布版本通知

pg_dbms_stats12 version 1.4.1 is released.

Two security issues are fixed in this release. One is installation-time issue and another is run-time issue.

  • The first one is that if someone malicious created a function with the same name with one of the pg_dbms_stats' SQL functions prior to installation, that function allows to be used to execute arbitrary script can be executed with elevated privilege. It is safe if all such functions are of the user that installed this module. The following query shows owner of pg_dbms_stats' functions.
SELECT proname, proowner::regrole FROM pg_proc
WHERE pronamespace = 'dbms_stats'::regnamespace;


  • Another issue is that since pg_dbms_stats calls some intrinsic functions of PostgreSQL by non-fully-qualified names, it can be overridden by a wrong function depending on search_path setting. Upgrade is needed under an environment where any of the following functions in pg_catalog is overridden by a wrong function.
'quote_ident', 'pg_relation_size', 'current_setting', 'has_column_privilege', 'row_security_active', 'max', 'replace'.

pg_dbms_stats12 バージョン 1.4.1 をリリースします。

このバージョンでは2つのセキュリティ関連バグを修正します。一つはインストール時のみ関係するもので、もう一つは動作時に関係します。

  • 1つ目はインストールスクリプトの動作時にpg_dbms_statsが作成する関数と同名の関数が悪意あるものによってすでに作られていた場合に、任意のスクリプトをクエリ発行者の権限で実行できる可能性があるというものです。これはpg_dbms_statsが作成するすべての関数の所有者がpg_dbms_statsをインストールしたユーザとなっていれば問題ありません。関数の所有者は以下のSQL文で確認できます。
SELECT proname, proowner::regrole FROM pg_proc
WHERE pronamespace = 'dbms_stats'::regnamespace;


  • もう一つの問題は pg_dbms_stats が内部的に完全修飾していない名前でPostgreSQL組み込み関数を呼び出しているため、search_path で先に検索される名前空間に同名の関数があった場合にその関数が代わりに呼び出される可能性があるというものです。 以下の関数への呼び出しが pg_catalog のもの以外の関数を呼び出す環境ではアップグレードが必要となります。
'quote_ident', 'pg_relation_size', 'current_setting', 'has_column_privilege', 'row_security_active', 'max', 'replace'。

变更日志

No Changelogs