Pgpool-II 4.3RC1 文書 | |||
---|---|---|---|
前のページ | 上に戻る | 付録 A. リリースノート | 次のページ |
Release Date: 2021-11-18
このリリースでは、Pgpool-II 4.2.6と同じバグ修正がすでに適用されています。 これらの修正の詳細については、項A.4を参照してください。 特に、以下の脆弱性の修正も行っています。
SSL暗号化ハンドシェイク後の余計なデータを拒否するようにしました。(Tatsuo Ishii)
サーバサイドのSSLネゴシエーションの実装において、任意のSQLコマンドを実行できる中間者攻撃が可能でした。 これはPgpool-IIがクライアント認証で証明書認証を使用しているか、hotssl + trust認証の場合に可能でした。 PostgreSQLのCVE-2021-23214と似た脆弱性です。
同様に、クライアントサイドのSSLネゴシエーション実装において、任意の結果に改ざんする中間者攻撃が可能でした。 これはPostgreSQLがクライアント認証でhostssl + trust認証を使用しているときに可能でした。 証明書認証の場合には、Pgpool-IIはPgpool-IIとPostgreSQL間で証明書認証を実装していないため問題ありません。 PostgreSQLのCVE-2021-23222と似た脆弱性です。