<!-- doc/src/sgml/release-4.0.sgml -->
<!-- See header comment in release.sgml about typical markup -->
+<sect1 id="release-4-0-22">
+ <title>リリース 4.0.22</title>
+ <note>
+ <title>リリース日</title>
+ <simpara>2023-01-23</simpara>
+ </note>
+
+ <sect2>
+ <title>概要</title>
+ <para>
+ このリリースには、セキュリティ修正が含まれています。
+ </para>
+ <para>
+ 以下の条件をすべて満たす場合、<xref linkend="SQL-SHOW-POOL-STATUS">コマンドにより<xref linkend="guc-wd-lifecheck-user">のパスワードが公開されます。このコマンドは、<productname>Pgpool-II</productname>に接続できるすべてのユーザーが実行できます。(CVE-2023-22332)
+ </para>
+
+ <itemizedlist>
+ <listitem>
+ <para>
+ バージョン3.3以降
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-use-watchdog">が<literal>on</literal>に設定されている
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-method">に<literal>query</literal>が設定されている
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-password">にプレーンテキストのパスワードが設定されている
+ </para>
+ </listitem>
+ </itemizedlist>
+
+ <para>
+ 上記条件のすべてに該当するユーザは、このバージョンにアップグレードするか (show pool_statusコマンドで<xref linkend="guc-wd-lifecheck-password">が表示されなくなる)、次の回避策のいずれかを使用することを強くお勧めします。
+ </para>
+
+ <para>
+ 4.0.x～4.4.xユーザ向けの回避策:
+ </para>
+
+ <itemizedlist>
+ <listitem>
+ <para>
+ Watchdogを無効にする。(<xref linkend="guc-use-watchdog">を<literal>off</literal>に設定する)
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-method">に<literal>heartbeat</literal>を設定する。
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-password">には空文字を設定し、パスワードはpool_passwdファイルに設定する。
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-password">にAESで暗号化したパスワードを設定する。
+ </para>
+ </listitem>
+ </itemizedlist>
+
+ <para>
+ いずれにせよ、PostgreSQLで<xref linkend="guc-wd-lifecheck-password">を変更することをお勧めします。
+ </para>
+
+ <para>
+ 3.3.x～3.7.xユーザ向けの回避策:
+ </para>
+
+ <itemizedlist>
+ <listitem>
+ <para>
+ Watchdogを無効にする。(<xref linkend="guc-use-watchdog">を<literal>off</literal>に設定する)
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-method">に<literal>heartbeat</literal>を設定する。
+ </para>
+ </listitem>
+ </itemizedlist>
+
+ <para>
+ いずれにせよ、<productname>PostgreSQL</productname>で<xref linkend="guc-wd-lifecheck-password">を変更することをお勧めします。
+ </para>
+
+ <para>
+ <productname>Pgpool-II</productname> 3.7.xおよび以前のバージョンはサポートが終了しているため、これらのバージョンのマイナーアップデートはリリースされません。
+ </para>
+ </sect2>
+
+ <sect2>
+ <title>変更点</title>
+ <itemizedlist>
+
+ <listitem>
+ <!--
+ 2023-01-22 [9af68dd8]
+ -->
+ <para>
+ <xref linkend="SQL-SHOW-POOL-STATUS">、<xref linkend="PCP-POOL-STATUS">および<xref linkend="PGPOOL-ADM-PCP-POOL-STATUS">コマンドでwd_lifecheck_passwordを表示しないように修正しました。(CVE-2023-22332) (Bo Peng)
+ </para>
+ </listitem>
+
+ <listitem>
+ <!--
+ 2023-01-22 [53d1375a]
+ -->
+ <para>
+ ドキュメントに記載されているように、<xref linkend="guc-wd-lifecheck-password">のデフォルト値を空の文字列に変更しました。(Bo Peng)
+ </para>
+ </listitem>
+
+ </itemizedlist>
+ </sect2>
+
+ <sect2>
+ <title>不具合修正</title>
+ <itemizedlist>
+
+ <listitem>
+ <!--
+ 2022-12-24 [6013de9]
+ -->
+ <para>
+ pgpool-regclass.cのコンパイラ警告を修正しました。(Florian Weimer, Tatsuo Ishii)
+ </para>
+ </listitem>
+
+ </itemizedlist>
+ </sect2>
+
+ <sect2>
+ <title>ドキュメント修正</title>
+ <itemizedlist>
+
+ <listitem>
+ <!--
+ 2023-01-06 [a6d1a65]
+ -->
+ <para>
+ <link linkend="runtime-in-memory-query-cache-shmem-config">共有メモリ使用時の設定</link>の章のいくつかの誤りを修正し、説明を強化しました。(Tatsuo Ishii)
+ </para>
+ </listitem>
+
+ </itemizedlist>
+ </sect2>
+</sect1>
+
<sect1 id="release-4-0-21">
<title>リリース 4.0.21</title>
<note>
<!-- doc/src/sgml/release-4.0.sgml -->
<!-- See header comment in release.sgml about typical markup -->
+<sect1 id="release-4-0-22">
+ <title>Release 4.0.22</title>
+ <note>
+ <title>Release Date</title>
+ <simpara>2023-01-23</simpara>
+ </note>
+
+ <sect2>
+ <title>Overview</title>
+ <para>
+ This release contains a security fix.
+ </para>
+ <para>
+ If following conditions are all met, the password of <xref linkend="guc-wd-lifecheck-user"> is
+ exposed by <xref linkend="SQL-SHOW-POOL-STATUS"> command.
+ The command can be executed by any user who can
+ connect to <productname>Pgpool-II</productname>. (CVE-2023-22332)
+ </para>
+
+ <itemizedlist>
+ <listitem>
+ <para>
+ Version 3.3 or later.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-use-watchdog"> is <literal>on</literal>.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ <xref linkend="guc-wd-lifecheck-method"> is <literal>query</literal>.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ A plain text password is set
+ to <xref linkend="guc-wd-lifecheck-password">.
+ </para>
+ </listitem>
+ </itemizedlist>
+
+ <para>
+ In this case it is strongly recommended to upgrade to this version
+ (we do not expose <xref linkend="guc-wd-lifecheck-password"> in
+ show pool_status command any more), or use one of following
+ workarounds.
+ </para>
+
+ <para>
+ Workarounds for 4.0.x to 4.4.x users:
+ </para>
+
+ <itemizedlist>
+ <listitem>
+ <para>
+ Disable watchdog. Set <xref linkend="guc-use-watchdog">
+ to <literal>off</literal>.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ Change <xref linkend="guc-wd-lifecheck-method">
+ to <literal>heartbeat</literal>.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ Set an empty string
+ to <xref linkend="guc-wd-lifecheck-password">. This will use
+ password in the <filename>pool_passwd</filename> file.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ Set an AES encrypted password
+ to <xref linkend="guc-wd-lifecheck-password">.
+ </para>
+ </listitem>
+ </itemizedlist>
+
+ <para>
+ In any case we recommend to
+ change <xref linkend="guc-wd-lifecheck-password">
+ in <productname>PostgreSQL</productname>.
+ </para>
+
+ <para>
+ Workarounds for 3.0.x to 3.7.x users:
+ </para>
+
+ <itemizedlist>
+ <listitem>
+ <para>
+ Disable watchdog. Set <xref linkend="guc-use-watchdog">
+ to <literal>off</literal>.
+ </para>
+ </listitem>
+
+ <listitem>
+ <para>
+ Change <xref linkend="guc-wd-lifecheck-method">
+ to <literal>heartbeat</literal>.
+ </para>
+ </listitem>
+ </itemizedlist>
+
+ <para>
+ In any case we recommend to
+ change <xref linkend="guc-wd-lifecheck-password">
+ in <productname>PostgreSQL</productname>.
+ </para>
+
+ <para>
+ Please note that <productname>Pgpool-II</productname> 3.7.x or
+ before are end of life and no minor updates are provided for those
+ versions.
+ </para>
+ </sect2>
+
+ <sect2>
+ <title>Changes</title>
+ <itemizedlist>
+
+ <listitem>
+ <!--
+ 2023-01-22 [9af68dd8]
+ -->
+ <para>
+ Do not expose <xref linkend="guc-wd-lifecheck-password"> in
+ <xref linkend="SQL-SHOW-POOL-STATUS">,
+ <xref linkend="PCP-POOL-STATUS"> and
+ <xref linkend="PGPOOL-ADM-PCP-POOL-STATUS"> commands. (CVE-2023-22332) (Bo Peng)
+ </para>
+ </listitem>
+
+ <listitem>
+ <!--
+ 2023-01-22 [53d1375a]
+ -->
+ <para>
+ Change the default value
+ for <xref linkend="guc-wd-lifecheck-password"> to empty string as
+ documented. (Bo Peng)
+ </para>
+ </listitem>
+
+ </itemizedlist>
+ </sect2>
+
+ <sect2>
+ <title>Bug fixes</title>
+ <itemizedlist>
+
+ <listitem>
+ <!--
+ 2022-12-24 [6013de9]
+ -->
+ <para>
+ Fix compiler warning
+ in <filename>pgpool-regclass.c</filename>. (Florian Weimer,
+ Tatsuo Ishii)
+ </para>
+ </listitem>
+
+ </itemizedlist>
+ </sect2>
+
+ <sect2>
+ <title>Documents</title>
+ <itemizedlist>
+
+ <listitem>
+ <!--
+ 2023-01-06 [a6d1a65]
+ -->
+ <para>
+ Doc: Enhance and fix some mistakes
+ in <link linkend="runtime-in-memory-query-cache-shmem-config">Configurations
+ to use shared memory</link> chapter. (Tatsuo Ishii)
+ </para>
+ </listitem>
+
+ </itemizedlist>
+ </sect2>
+</sect1>
+
<sect1 id="release-4-0-21">
<title>Release 4.0.21</title>
<note>
projects / pgpool2.git / commitdiff