2023年8月23日にEDB製品においてパッチセットがリリースされたと案内がございました。
今回は特にEPAS（EDB Postgres Advanced Server）において脆弱性に関する修正が含まれております。
ぜひパッチ運用をして現在の製品をご利用ください。
パッチセットのリリースにつきましては下記となります。
概要
- コミュニティリリースとマージします。マージやその他の修正に関する詳細についてはこちらをクリックしてください。
- 新しい拡張機能: Index_advisor と sql_profiler は別個の拡張機能となり、 EDB Reposから独立してダウンロードできます。
11.21.32、12.16.20、13.12.16、14.9.0、15.4.0以前のEDB Postgres Advanced Server（EPAS）の全バージョンに影響するいくつかのセキュリティ脆弱性が、これらのリリースで対処されています。できるだけ早くEDBのセキュリティ勧告のドキュメントを参照し、必要な修正または緩和策とともにセキュリティ勧告を確認することが重要です。
セキュリティ修正
- これらの修正により、11.21.32、12.16.20、13.12.16、14.9.0、15.4.0 より前のすべてのバージョンの EPAS の問題が解決されます。
- CVE-2023-XXXXX-1: EDB Postgres Advanced Server (EPAS) SECURITY DEFINER 関数とプロシージャが search_path 経由でハイジャックされる可能性がある
- CVE-2023-XXXXX-2: EDB Postgres Advanced Server (EPAS) の dbms_aq ヘルパー関数がスーパーユーザーとして任意の SQL を実行する可能性がある
- CVE-2023-XXXXX-3: EDB Postgres Advanced Server (EPAS) 権限が accesshistory() 経由でバイパスされる
- CVE-2023-XXXXX-4: EDB Postgres Advanced Server (EPAS) UTL_FILE 権限バイパス
- CVE-2023-XXXXX-5: マテリアライズド ビューの EDB Postgres Advanced Server (EPAS) 権限バイパス
- CVE-2023-XXXXX-6: EDB Postgres Advanced Server (EPAS) 認証されたユーザーは任意の URL をフェッチできる
- CVE-2023-XXXXX-7: EDB Postgres Advanced Server (EPAS) のラージ オブジェクトに対する読み取り権限のバイパス
- CVE-2023-XXXXX-8: EDB Postgres Advanced Server (EPAS) DBMS_PROFILER データが許可なく削除される可能性があります
- 注:
CVE-YYYY-XXXXX-n形式の番号を持つアドバイザリは送信され、完全な番号の割り当てが保留されています。
バグの修正
EPAS 11 以降
- パッケージ化されたコレクション型の INDEX BY 句でサブタイプを許可します。 (#1371)
- パッケージ化された型フィールドを指すときの %type 解決を修正しました。 (#1243)
EPAS 12 以降:
- プロファイル: REUSE 制約が有効/無効になっている場合のアップグレードを修正しました。 (#92739)
- パッケージ化されたカーソル パラメーターに正しい照合順序を設定します。 (#92739)
- エラーが発生した場合、pg_temp を作成する自律トランザクションをロールバックします。 (#91614)
EPAS 13 以降:
- EXCHANGE PARTITION コマンドで必要な WAL ログを確認するためのチェックを追加しました。
EPAS 14 以降:
- GENERATED AS IDENTITY 制約に対して作成されたシーケンスをダンプ/復元します。 (#90658)
- CREATE INDEX での親テーブルの最後の DDL 時刻の更新をスキップします。 (#91270)
- パッケージ本体を置き換える際に、既存のパッケージのプライベート プロシージャまたは関数エントリを edb_last_ddl_time から削除します。
EPAS 15 以降:
- 同じトランザクションで複数の PQprepare() 呼び出しを許可するように libpq を修正しました。 (#94735)
*かっこ内の参照は、顧客のケース番号に対応します。
