E.164. 版本 7.4.19 · PostgreSQL 中文文檔 9.3

# E.164\. 版本 7.4.19 > **發布日期:** 2008-01-07 這個版本包含各種自7.4.18以來的修復，包括重大安全問題的修復。關于7.4主版本的新特性的信息，請查閱[Section E.183](#calibre_link-305)。 ## E.164.1\. 遷移到版本 7.4.19 運行7.4.X的用戶不需要轉儲/恢復。不過，如果你是從一個早于7.4.11的版本升級而來，請查看7.4.11的版本聲明。 ## E.164.2\. 修改列表 * 阻止索引中的函數用用戶的權限執行`VACUUM`、`ANALYZE`等 (Tom) 在索引表達式和部分索引判斷中使用的函數在創建一個新的表條目時評估。早就知道如果某人修改了一個不受信任的用戶擁有的表，會造成特洛伊木馬代碼執行的風險。（請注意，觸發器、缺省、檢查約束等，造成同樣類型的風險。）但是索引中的函數造成額外的危險，因為它們將被日常維護操作（如`VACUUM FULL`）執行，而它們在超級用戶賬戶下通常是自動執行的。例如，一個不法用戶通過設置一個特洛伊木馬索引定義并等待下一個日常清理，可以使用超級用戶權限執行代碼。該修復為標準的維護操作安排了(包括`VACUUM`、`ANALYZE`、`REINDEX`、和`CLUSTER`)作為表的所有者執行而不是調用的用戶，相同的權限切換機制早已為`SECURITY DEFINER`函數使用了。為了阻止繞開這個安全措施，`SET SESSION AUTHORIZATION`和`SET ROLE` 現在禁止在`SECURITY DEFINER`內容中執行。 (CVE-2007-6600) * 修復正則表達式包中的各種bug (Tom, Will Drewry) 適當配置的正則表達式模式可能會導致崩潰、無限或接近無限循環、和/或大量的內存消耗，所有這些都造成從不受信任的源接受正則表達式搜索模式的應用拒絕服務的風險。 (CVE-2007-4769, CVE-2007-4772, CVE-2007-6067) * 要求使用`/contrib/dblink`的非超級用戶只使用密碼認證作為安全措施 (Joe) 在7.4.18中出現的這個修復是不完全的，因為它只堵住了一些`dblink`函數的漏洞。 (CVE-2007-6601, CVE-2007-3278) * 修復`WHERE false AND var IN (SELECT ...)`的某些情況下規劃器失敗 (Tom) * 修復使用多字節數據庫編碼時`translate()`中潛在的崩潰 (Tom) * 修復PL/Python在長的異常消息時不崩潰 (Alvaro) * ecpg語法分析器修復 (Michael) * 使`contrib/tablefunc`的`crosstab()` 獨立的將NULL rowid作為一個類別處理，而不是崩潰 (Joe) * 修復`tsvector`和`tsquery`輸出例程，以正確的逃逸反斜杠 (Teodor, Bruce) * 修復`to_tsvector()`在大的輸入字符串上的崩潰 (Teodor) * 當重新生成`configure`腳本時，要求指定要使用的Autoconf的版本 (Peter) 這只影響開發者和打包者。這個修改是為了阻止未經測驗的Autoconf 和PostgreSQL版本的組合的意外使用。如果你實在是想要使用一個不同的Autoconf版本，可以移除版本校驗，但是結果如何就是你的責任了。