在2023年8月10号，PG官网上发布了一则更新消息：PostgreSQL 15.4, 14.9, 13.12, 12.16, 11.21, and PostgreSQL 16 Beta 3 Released! (详见：https://www.postgresql.org/about/news/postgresql-154-149-1312-1216-1121-and-postgresql-16-beta-3-released-2689/)

有没有什么重点值得观注的呢？

一个是PostgreSQL 11在2023-11-09停止更新的提示。即到了今年11月9号以后，不再有官方补丁维护了。广大PostgreSQL的DBA们应该比较清楚PostgreSQL五年的大版本长期维护策略。即大版本一经Release，最长维护5年。PG11是在2018年Release的。

然后这个次版本更新，有两个安全补丁需要留意：

1、CVE-2023-39417

CVE-2023-39417: Extension script @substitutions@ within quoting allow SQL injection.

支持，易受攻击的版本:11 - 15。安全团队通常不会去测试不受支持的版本，但这个问题已经相当老了。

要注意的是，它的CVSS score是7.5分。属于HIGH级别的。

如果扩展脚本使用了@extowner@、@extschema@或@extschema:…在引号结构($，“”或“”)内。没有绑定的扩展是脆弱的。易受攻击的用法确实出现在文档示例和非捆绑扩展中。因此，攻击的先决条件是管理员安装了易受攻击的、受信任的、未绑定的扩展的文件。在此前提下，这允许具有数据库级CREATE权限的攻击者以引导超级用户的身份执行任意代码。PostgreSQL将在核心服务器中阻止这种攻击，因此不需要修改单个扩展。

2、CVE-2023-39418

MERGE fails to enforce UPDATE or SELECT row security policies.

支持，易受攻击的版本:15。

它的CVSS score是3.1分。属于LOW/MEDIUM之间。

PostgreSQL 15引入了MERGE命令，它不能根据为UPDATE和SELECT定义的行安全策略测试新行。如果UPDATE和SELECT策略禁止某些INSERT策略不禁止的行，则用户可以存储这些行。随后的结果取决于应用程序。这只影响使用CREATE POLICY定义行安全策略的数据库。

从描述来看，这个漏洞应该很容易重现，但是危害性相对不那么高。

16.0 Beta 3

还有一个是PostgreSQL Beta新版本 16.0Beta 3出现。

可以在：https://www.postgresql.org/docs/16/release-16.html  找到更完整的信息。

由于此次版本升级涉及到重大安全更新，所以，如果是用以了11-15之间的版本，建议，直接升级到对应版本的最新子版本。以确保系统的安全性。