A.15. リリース 4.4.2

A.15.1. 概要

このリリースには、セキュリティ修正が含まれています。

以下の条件をすべて満たす場合、SHOW POOL_STATUSコマンドによりwd_lifecheck_userのパスワードが公開されます。このコマンドは、Pgpool-IIに接続できるすべてのユーザーが実行できます。(CVE-2023-22332)

• バージョン3.3以降

• use_watchdogがonに設定されている

• wd_lifecheck_methodにqueryが設定されている

• wd_lifecheck_passwordにプレーンテキストのパスワードが設定されている

上記条件のすべてに該当するユーザは、このバージョンにアップグレードするか (show pool_statusコマンドでwd_lifecheck_passwordが表示されなくなる)、次の回避策のいずれかを使用することを強くお勧めします。

4.0.x～4.4.xユーザ向けの回避策:

• Watchdogを無効にする。(use_watchdogをoffに設定する)

• wd_lifecheck_methodにheartbeatを設定する。

• wd_lifecheck_passwordには空文字を設定し、パスワードはpool_passwdファイルに設定する。

• wd_lifecheck_passwordにAESで暗号化したパスワードを設定する。

いずれにせよ、PostgreSQLでwd_lifecheck_passwordを変更することをお勧めします。

3.3.x～3.7.xユーザ向けの回避策:

• Watchdogを無効にする。(use_watchdogをoffに設定する)

• wd_lifecheck_methodにheartbeatを設定する。

いずれにせよ、PostgreSQLでwd_lifecheck_passwordを変更することをお勧めします。

Pgpool-II 3.7.xおよび以前のバージョンはサポートが終了しているため、これらのバージョンのマイナーアップデートはリリースされません。

A.15.2. 変更点

• SHOW POOL_STATUS、pcp_pool_statusおよびpgpool_adm_pcp_pool_statusコマンドでwd_lifecheck_passwordを表示しないように修正しました。(CVE-2023-22332) (Bo Peng)

• ドキュメントに記載されているように、wd_lifecheck_passwordのデフォルト値を空の文字列に変更しました。(Bo Peng)

A.15.3. 不具合修正

• pgpool_adm: pcp_pool_status関数がPostgreSQL 15で失敗する問題を修正しました。(Tatsuo Ishii)

  pcp_pool_status関数は実際にはSETOF recordを返しますが、「RETURNS record」と宣言されていました。 これはPostgreSQL 14までは許容されていましたが、PostgreSQL 15ではより厳しくなりました。 これを修正するために、pcp_pool_statusの戻り値の型を「RETURNS record」から「RETURNS SETOF record」に変更しました。

  また、pgpool_adm拡張機能のバージョンを1.5に上げました。

• ストリーミングレプリケーションチェックでの整数オーバーフローを修正しました。(Tatsuo Ishii)

  delay_threshold_by_time が有効で、レプリケーションの遅延が約36分を超えると、整数オーバーフローエラーがログに記録され、レプリケーションチェックが失敗しました。

• pgpool-regclass.cのコンパイラ警告を修正しました。(Florian Weimer, Tatsuo Ishii)

• Coverityによって指摘された初期化されていない変数を修正しました。(Takuma Hoshiai)

A.15.4. ドキュメント修正

• 共有メモリ使用時の設定の章のいくつかの誤りを修正し、説明を強化しました。(Tatsuo Ishii)

• delay_threshold_by_timeの説明を強化しました。(zam bak, Tatsuo Ishii)