Pgpool-II 4.4.2、4.3.5、4.2.12、4.1.15 和 4.0.22 已发布。

发布于 2023-01-23,作者为 Pgpool 全球开发团队
相关开源 安全

什么是 Pgpool-II?

Pgpool-II 是一款为 PostgreSQL 添加实用功能的工具,包括

  • 连接池
  • 负载均衡
  • 自动故障转移和 更多

次要版本发布

Pgpool 全球开发团队很高兴地宣布以下版本的 Pgpool-II 可用:

  • 4.4.2
  • 4.3.5
  • 4.2.12
  • 4.1.15
  • 4.0.22

此版本包含一个安全修复。

如果满足以下所有条件,则 "wd_lifecheck_user" 的密码会通过 "SHOW POOL STATUS" 命令暴露。任何可以连接到 Pgpool-II 的用户都可以执行该命令。(CVE-2023-22332)

  • 3.3 或更高版本
  • use_watchdog = on
  • wd_lifecheck_method = 'query'
  • wd_lifecheck_password 设置为纯文本密码

在这种情况下,强烈建议升级到此版本(我们不再在 show pool_status 命令中公开 wd_lifecheck_password),或使用以下解决方法之一。

4.0.x 到 4.4.x 用户的解决方法

  • 禁用 watchdog。将 use_watchdog 设置为 off。
  • 将 wd_lifecheck_method 更改为 heartbeat。
  • 将 wd_lifecheck_password 设置为空字符串。这将使用 pool_passwd 文件中的密码。
  • 将 AES 加密密码设置为 wd_lifecheck_password。

在任何情况下,我们都建议您更改 PostgreSQL 中的 “wd_lifecheck_password”。

3.0.x 到 3.7.x 用户的解决方法

  • 禁用 watchdog。将 use_watchdog 设置为 off。
  • 将 wd_lifecheck_method 更改为 heartbeat。

在任何情况下,我们都建议您更改 PostgreSQL 中的 “wd_lifecheck_password”。

请注意,Pgpool-II 3.7.x 或更早版本已停止维护,这些版本不再提供次要更新。

请查看 发行说明

您可以下载 源代码和 RPM