E-Maj 5.0.1 исправляет уязвимость, затрагивающую все предыдущие версии расширения.
Для E-Maj вышла версия 5.0.1 с важным исправлением безопасности. Разработчик сообщает об уязвимости всех предыдущих версий расширения и рекомендует пользователям обновиться.
При определённых условиях некоторые пользователи могли получить права суперпользователя. Исправление этого дефекта представлено в E-Maj 5.0.1, о чём разработчик сообщил 31 октября на сайте PostgreSQL.
Права суперпользователя означают очень широкие полномочия в базе данных. Короткое объявление не раскрывает точный набор условий для использования уязвимости; придумывать его по описанию нельзя.
Это основание проверить установленный компонент, а не доказательство уже произошедшего доступа к данным. В анонсе нет результатов проверки конкретного сервера или компании.
Сообщение касается E-Maj — отдельного расширения PostgreSQL для подробного журналирования изменений и возврата выбранных групп данных к прежнему состоянию. Само наличие PostgreSQL ещё не означает, что E-Maj установлен.
По объявлению, уязвимость есть во всех предыдущих версиях именно E-Maj. Для выпуска 5.0.1 заявлена совместимость с PostgreSQL версий 14–19.
Сначала попросите администратора проверить перечень расширений, их версии и среды использования. На схеме архитектуры проекта удобно отметить, где находится база и кто отвечает за её обслуживание.
Передайте ответственному за базу точный анонс и попросите составить план обновления E-Maj. Нужно подтвердить текущую версию, совместимость и способ проверки после изменения.
Мы предлагаем подготовить короткую карточку:
Это редакционный порядок подготовки. Выполнять команды обновления на живой базе по одной новости без проверки проекта не стоит.
Назначение расширения в анонсе связано с выбранными наборами данных внутри PostgreSQL. Из этого не следует, что оно само восстанавливает все файлы, настройки, внешние подключения и работу сайта.
В разборе восстановления облачных сервисов объясняем, почему наличие копии и проверенный запуск — отдельные этапы. Для E-Maj полезно так же заранее определить, что команда считает успешным результатом.
Мы не меняли расширения на рабочей базе и не проводили проверку доступа. Новость сообщает о выпущенном исправлении и помогает владельцу проекта передать команде точный вопрос.
