E.40. 發布8.4.13 · PostgreSQL 中文文檔 9.3

# E.40\. 發布8.4.13 > **發布日期:** 2012-08-17 該發布包含來自8.4.12各種修復。關于8.4主要發布的新功能的信息，參閱[Section E.53](#calibre_link-49)。 ## E.40.1\. 遷移到版本8.4.13 運行8.4.X不需要備份/恢復。然而，如果你從8.4.10更早版本更新，參閱8.4.10的發布說明。 ## E.40.2\. 變化 * 通過XML實體引用避免訪問外部文件/URL(Noah Misch, Tom Lane) `xml_parse()`可以嘗試讀取外部文件夾或者URL作為需要解決DTD 以及XML值中的實體引用，從而允許未授權數據庫用戶嘗試讀取與數據庫服務器權限的數據。當外部數據還沒直接返回給用戶時，如果數據沒有解析為有效XML，那么它的一部分可能會暴露在錯誤信息中；并且無論如何檢查文件是否存在的能力可能對攻擊者有用。 * 阻止通過`contrib/xml2`的 `xslt_process()`訪問外部文件夾/URL(Peter Eisentraut) libxslt提供通過樣式表命令讀寫文件夾和URL的能力，從而允許未授權數據庫用戶以讀寫帶有數據庫服務器權限的數據。禁止通過libxslt的安全選項的正確使用。(CVE-2012-3488) 同時，刪除`xslt_process()`的能力從外部文件夾/URL中讀取文件和樣式表。當這是已證明"特性"時，那么它被長期視為壞主意。為了CVE-2012-3489修復打破該能力，而不是付出努力嘗試修復它，我們只是打算簡單地刪除它。 * 防止btree索引頁過早回收利用(Noah Misch) 當我們允許只讀事務略過已分配XID時，當只讀事務仍然運行到它時，那么我們介紹已刪除btree頁可以被重新利用的可能性。這會導致不正確索引搜索結果。在該字段產生錯誤的可能性很低，因為時間要求，但盡管如此它應該被修復。 * 修復帶有新創造或者重新設置序列的碰撞安全漏洞(Tom Lane) 如果在新創造或者重新設置序列上執行`ALTER SEQUENCE`，然后在它上精確執行一個`nextval()`調用，然后服務器崩潰了，WAL回放可以恢復序列到似乎沒有執行`nextval()`的狀態下，然而允許通過下一個`nextval()`調用再次返回第一個序列值。特別是這可以表現為`serial`列，因為串行列的序列的創建包含 `ALTER SEQUENCE OWNED BY`步驟。 * 在`pg_start_backup()`之后確保 `backup_label`文件是fsync (Dave Kerr) * 后面補丁9.1改進以壓縮fsync請求隊列(Robert Haas) 在檢查點期間提高了性能。 9.1變化已看到似乎安全的足夠字段測試到后面補丁中。 * 僅僅允許autovacuum通過直接的封鎖進程被自動取消(Tom Lane) 原代碼可能允許某些情況下的不一致操作；特別是，在少于`deadlock_timeout`寬限期后可以取消autovacuum。 * 改善autovacuum取消記錄(Robert Haas) * 修復日志收集器以致于在服務器啟動后第一個日志循環期間運行`log_truncate_on_rotation` (Tom Lane) * 修復`WITH`附屬于嵌套設置操作 (`UNION`/`INTERSECT`/`EXCEPT`)(Tom Lane) * 確保參照子查詢的整行不包含任何額外的 `GROUP BY`或者`ORDER BY`列(Tom Lane) * 在`CREATE TABLE`期間`CHECK`約束和索引定義中不允許拷貝整行引用(Tom Lane) 這種情況可以產生帶有 `LIKE`或者`INHERITS`的`CREATE TABLE`。復制整列變量被錯誤地標記帶有不是一個新的原來表的行類型。為`LIKE`拒絕理由似乎是合理的，因為行類型可能后面會分散。為`INHERITS`我們理論上應該接受它，伴隨對父表的行類型的隱含脅迫；但比起后端補丁似乎是安全的需要更多的工作。 * 修復`ARRAY(SELECT ...)`子查詢中的內存泄露 (Heikki Linnakangas, Tom Lane) * 從正則表達式修復常見前綴提取(Tom Lane) 該代碼被量化的括號子表達式搞糊涂了，比如`^(foo)?bar`。這將導致這種模式不正確的搜索索引優化。 * 修復`interval`常量中帶有解析符號 `_hh_``:``_mm_`和 `_hh_``:``_mm_``:``_ss_`字段錯誤(Amit Kapila, Tom Lane) * 正確報告`contrib/xml2`的`xslt_process()`中錯誤(Tom Lane) * 為了Morocco和Tokelau中DST變化規律更新時區數據文件到tzdata發布2012e