PostgreSQL CVE-2026-6460: tietokantakäyttäjät, jotka voivat luoda objekteja, voivat suorittaa koodia palvelimella

Mitä tapahtui

PostgreSQL Global Development Group julkaisi 12. marraskuuta 2026 PostgreSQL 18.7, 17.12, 16.16, 15.20 ja 14.25. The Hacker Newsin mukaan nämä julkaisut korjaavat 52 tietoturvavirhettä. Vakavin niistä on CVE-2026-6460 (CVSS 8.8), tyyppisekoitusvirhe palvelimen ytimessä.

Tietokantakäyttäjä, joka voi luoda objekteja, voi käyttää komentoa ALTER ... SET DATA TYPE saadakseen palvelimen lukemaan vanhentuneen arvon ikään kuin sillä olisi uusi tyyppi. Muutkin DDL-lauseet voivat tehdä saman, esimerkiksi ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Näin käyttäjä voi suorittaa mielivaltaista koodia sen käyttöjärjestelmäkäyttäjän nimissä, joka ajaa PostgreSQL:ää. Korjaus lisää versiotarkistuksia, joiden avulla palvelin voi tunnistaa arvot, jotka eivät enää vastaa tyyppiään.

Tietoturvatutkija Mehmet Ince on julkaissut teknisen kuvauksen toimivasta hyökkäyskoodista, jonka hän demonstroi PostgreSQL 18.6:lla. Kuvauksessa on SQL, joka kaataa päivittämättömän palvelimen, sekä vaihe, joka vuotaa muistiosoitteita. Siinä ei ole viimeistä vaihetta, joka suorittaa komennon. Hän kirjoitti, että pystyi aiheuttamaan kaatumisen käyttäjällä, jolla on vähimmäisoikeudet. Lähteistä ei selvinny, voiko tili, jolla on vain oletusoikeudet, edetä ja suorittaa koodia. Red Hat toteaa, että hyökkääjä tarvitsee tietokantakirjautumisen, jolla voi luoda tai muokata objekteja.

PostgreSQL-projekti ei ole raportoinut hyökkäyksiä, joissa virhettä on hyödynnetty, eikä CISA listaa sitä hyödynnetyksi.

Samat julkaisut korjaavat myös muita virheitä, mukaan lukien CVE-2026-116322, jonka avulla tunnistautumaton asiakas voi pakottaa PostgreSQL 18 -palvelimet käynnistymään uudelleen. Ne korjaavat myös asiakastyökalujen virheitä: manipuloitu arkisto voi saada pg_restoren suorittamaan koodia sen käyttäjän nimissä, joka sen ajaa, ja vaarantunut lähdepalvelin voi saada psql:n suorittamaan koodia pg_dumpin tar-tulosteen palautusskriptin kautta.

Keitä tämä koskee

• PostgreSQL 18 ennen versiota 18.7, 17 ennen versiota 17.12, 16 ennen versiota 16.16, 15 ennen versiota 15.20 ja 14 ennen versiota 14.25.
• Vanhemmat pääversiot ovat myös haavoittuvia, eikä niille tule päivitystä. PostgreSQL 14 on nyt elinkaarensa päässä, ja 14.25 on sen viimeinen julkaisu.
• Riski on suurin palvelimilla, joissa ihmisillä, joihin et täysin luota, on tietokantakirjautuminen, jolla voi luoda tai muuttaa objekteja. Tähän kuuluvat jaetut palvelinympäristöt, asiakkaille luovutetut tietokannat ja verkkosovellukset, joiden tietokantatili omistaa skeemansa. Jos hyökkääjä saa haltuunsa tällaisen sovelluksen, esimerkiksi SQL-injektion kautta, hän voi ehkä käyttää sen tietokantatiliä tällä tavalla.
• Hallinnoidut palvelut: tutkija jakoi konseptitodisteita AWS:lle (RDS, Aurora), Microsoftille (Azure PostgreSQL), Googlelle (AlloyDB), Supabaselle, Databricksille ja Ubicloudille. Niiden nykyistä korjaustilannetta ei tiedetä. Tarkista palveluntarjoajasi tiedotteet.
• Palvelimet, joilla ei ole PostgreSQL:ää, eivät ole haavoittuvia. MySQL ja MariaDB eivät ole haavoittuvia.

Mitä kannattaa tehdä nyt

1. Varmuuskopioi PostgreSQL-asetuksesi (esimerkiksi postgresql.conf ja pg_hba.conf) ja varmista, että sinulla on ajantasainen tietokantavarmuuskopio.
2. Päivitä palvelin pääversiosi korjattuun julkaisuun: 18.7, 17.12, 16.16, 15.20 tai 14.25. Jos käytät jakelusi paketteja (Debian, Ubuntu, RHEL ja klooni), asenna korjatut paketit jakelusi tietoturvatiedotteessa mainitut heti, kun ne ovat saatavilla. Käytä sen jälkeen pakettienhallintaa normaalisti (apt update && apt upgrade tai dnf upgrade).
3. Päivitä tai käännä uudelleen jokainen C-kielinen laajennus samalla kertaa kuin palvelin. Projektin RPM-ylläpitäjät varoittavat, että vanhemmille julkaisuille käännetyt laajennukset latautuvat edelleen, mutta eivät välttämättä ole suojattuja. Joidenkin laajennusten pitää myös muuttaa lähdekoodia. PostgreSQL RPM -repositorioiden laajennuspaketit vaativat nyt uuden pienjulkaisun.
4. Käynnistä PostgreSQL uudelleen. Jos se toimii paketin oman palveluyksikön ulkopuolella, esimerkiksi Patronin alla, käynnistä se käsin heti päivityksen jälkeen.
5. Noudata uudelleenindeksointiohjeita virallisessa julkaisutiedotteessa. Jos käytät inkrementaalisia varmuuskopioita, ota uusi täysi varmuuskopio ja perusta tulevat inkrementaaliset varmuuskopiot siihen.
6. Päivitä asiakastyökalut, kuten pg_dump, pg_restore, psql, reindexdb ja vacuumdb, jokaisella koneella, jossa niitä käytetään, mukaan lukien varmuuskopiopalvelimet ja ylläpitotyöasemat.
7. Älä käytä uutta composite_type_mismatch-asetusta uusien tarkistusten poistamiseen. Projekti toteaa, että se aiheuttaa tietoturvariskejä.
8. Jos et voi päivittää heti, muista, että projekti ei tarjoa kiertotapaa. Käy siihen asti läpi, mitkä tilit voivat luoda tai muuttaa objekteja, erityisesti verkkosovellusten käyttämät tai asiakkaille annetut tilit, ja varmista, ettei PostgreSQL ole saavutettavissa internetistä, ellei sen tarvitse olla.
9. Jos käytät yhä PostgreSQL 14:ää tai sitä vanhempaa versiota, suunnittele päivitys tuettuun pääversioon.

Miten tarkistat, oletko haavoittuvainen

• Tarkista käynnissä olevan palvelimen versio komennolla psql -c 'SELECT version();' tai SHOW server_version;. Oman pääversiosi versiot ennen 18.7, 17.12, 16.16, 15.20 tai 14.25 ovat haavoittuvia.
• Tarkista asennetut binäärit ja paketit komennoilla postgres -V, dpkg -l | grep postgresql tai rpm -qa | grep postgresql. Käynnistä palvelin uudelleen, jos käynnissä oleva versio on vanhempi kuin asennettu.
• Listaa asennetut laajennukset komennolla SELECT extname, extversion FROM pg_extension; jokaisessa tietokannassa. Varmista, että jokainen C-laajennus on päivitetty tai käännetty uudelleen uutta julkaisua varten.
• Tarkista PostgreSQL-lokit odottamattomien taustaprosessien kaatumisten varalta, kuten signaalin lopettamat palvelinprosessit. Julkaistu hyökkäyskoodi kaataa päivittämättömät palvelimet, joten tällaiset kaatumiset kannattaa tarkistaa tarkemmin.

Lähteet

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/