From 9cbcdfafebd895ea05ef11f77edef3253dc1c8a0 Mon Sep 17 00:00:00 2001 From: Bo Peng Date: Sun, 22 Jan 2023 00:46:32 +0900 Subject: [PATCH] Doc: Add release notes. --- doc.ja/src/sgml/release-4.0.sgml | 165 ++++++++++++++++++++++++++ doc/src/sgml/release-4.0.sgml | 194 +++++++++++++++++++++++++++++++ 2 files changed, 359 insertions(+) diff --git a/doc.ja/src/sgml/release-4.0.sgml b/doc.ja/src/sgml/release-4.0.sgml index 1cf1f9da6..10fa9b23a 100644 --- a/doc.ja/src/sgml/release-4.0.sgml +++ b/doc.ja/src/sgml/release-4.0.sgml @@ -1,6 +1,171 @@ + + リリース 4.0.22 + + リリース日 + 2023-01-23 + + + + 概要 + + このリリースには、セキュリティ修正が含まれています。 + + + 以下の条件をすべて満たす場合、コマンドによりのパスワードが公開されます。このコマンドは、Pgpool-IIに接続できるすべてのユーザーが実行できます。(CVE-2023-22332) + + + + + + バージョン3.3以降 + + + + + + がonに設定されている + + + + + + にqueryが設定されている + + + + + + にプレーンテキストのパスワードが設定されている + + + + + + 上記条件のすべてに該当するユーザは、このバージョンにアップグレードするか (show pool_statusコマンドでが表示されなくなる)、次の回避策のいずれかを使用することを強くお勧めします。 + + + + 4.0.x～4.4.xユーザ向けの回避策: + + + + + + Watchdogを無効にする。(をoffに設定する) + + + + + + にheartbeatを設定する。 + + + + + + には空文字を設定し、パスワードはpool_passwdファイルに設定する。 + + + + + + にAESで暗号化したパスワードを設定する。 + + + + + + いずれにせよ、PostgreSQLでを変更することをお勧めします。 + + + + 3.3.x～3.7.xユーザ向けの回避策: + + + + + + Watchdogを無効にする。(をoffに設定する) + + + + + + にheartbeatを設定する。 + + + + + + いずれにせよ、PostgreSQLでを変更することをお勧めします。 + + + + Pgpool-II 3.7.xおよび以前のバージョンはサポートが終了しているため、これらのバージョンのマイナーアップデートはリリースされません。 + + + + + 変更点 + + + + + + 、およびコマンドでwd_lifecheck_passwordを表示しないように修正しました。(CVE-2023-22332) (Bo Peng) + + + + + + + ドキュメントに記載されているように、のデフォルト値を空の文字列に変更しました。(Bo Peng) + + + + + + + + 不具合修正 + + + + + + pgpool-regclass.cのコンパイラ警告を修正しました。(Florian Weimer, Tatsuo Ishii) + + + + + + + + ドキュメント修正 + + + + + + 共有メモリ使用時の設定の章のいくつかの誤りを修正し、説明を強化しました。(Tatsuo Ishii) + + + + + + + リリース 4.0.21 diff --git a/doc/src/sgml/release-4.0.sgml b/doc/src/sgml/release-4.0.sgml index cc1715910..6f4bcd9f9 100644 --- a/doc/src/sgml/release-4.0.sgml +++ b/doc/src/sgml/release-4.0.sgml @@ -1,6 +1,200 @@ + + Release 4.0.22 + + Release Date + 2023-01-23 + + + + Overview + + This release contains a security fix. + + + If following conditions are all met, the password of is + exposed by command. + The command can be executed by any user who can + connect to Pgpool-II. (CVE-2023-22332) + + + + + + Version 3.3 or later. + + + + + + is on. + + + + + + is query. + + + + + + A plain text password is set + to . + + + + + + In this case it is strongly recommended to upgrade to this version + (we do not expose in + show pool_status command any more), or use one of following + workarounds. + + + + Workarounds for 4.0.x to 4.4.x users: + + + + + + Disable watchdog. Set + to off. + + + + + + Change + to heartbeat. + + + + + + Set an empty string + to . This will use + password in the pool_passwd file. + + + + + + Set an AES encrypted password + to . + + + + + + In any case we recommend to + change + in PostgreSQL. + + + + Workarounds for 3.0.x to 3.7.x users: + + + + + + Disable watchdog. Set + to off. + + + + + + Change + to heartbeat. + + + + + + In any case we recommend to + change + in PostgreSQL. + + + + Please note that Pgpool-II 3.7.x or + before are end of life and no minor updates are provided for those + versions. + + + + + Changes + + + + + + Do not expose in + , + and + commands. (CVE-2023-22332) (Bo Peng) + + + + + + + Change the default value + for to empty string as + documented. (Bo Peng) + + + + + + + + Bug fixes + + + + + + Fix compiler warning + in pgpool-regclass.c. (Florian Weimer, + Tatsuo Ishii) + + + + + + + + Documents + + + + + + Doc: Enhance and fix some mistakes + in Configurations + to use shared memory chapter. (Tatsuo Ishii) + + + + + + + Release 4.0.21 -- 2.39.5