PostgreSQL CVE-2026-6460: adatbázis-felhasználók, akik objektumot hozhatnak létre, kódot futtathatnak a szerveren

Mi történt

2026. november 12-én a PostgreSQL Global Development Group kiadta a PostgreSQL 18.7, 17.12, 16.16, 15.20 és 14.25 verzióját. A The Hacker News szerint ezek a kiadások 52 biztonsági hibát javítanak. A legsúlyosabb a CVE-2026-6460 (CVSS 8,8), egy tipuszzavar a szerver magjában.

Az az adatbázis-felhasználó, aki objektumot hozhat létre, használhatja az ALTER ... SET DATA TYPE parancsot, hogy a szerver egy elavult értéket úgy olvasson be, mintha új típusa lenne. Más DDL-utasítások ugyanezt elérhetik, például ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Ez lehetővé teszi, hogy a felhasználó tetszőleges kódot futtasson a PostgreSQL-t futtató operációs rendszer-felhasználó jogosultságával. A javítás verellenőrzéseket vezet be, hogy a szerver felismerje azokat az értékeket, amelyek már nem felelnek meg a típusuknak.

Mehmet Ince biztonsági kutató technikai leírást és működő kihasználót tett közzé, amelyet a PostgreSQL 18.6 verzión mutatott be. A leírás tartalmazza azt az SQL-t, amely egy nem javított szervert összeomaszt, valamint egy lépést, amely memóriacímeket szivárogtat ki. Nem tartalmazza az utolsó lépést, amely parancsot futtat. A kutató szerint a összeomlást a legalacsonyabb jogosultságú bejelentkezési szerepkörrel is ki tudta váltani. A források nem árulják el, hogy az alapértelmezett jogosultságokkal rendelkező fiók eljuthat-e kódfuttatásig. A Red Hat szerint a támadónak olyan adatbázis-bejelentkezésre van szüksége, amellyel objektumot lehet létrehozni vagy módosítani.

A PostgreSQL projekt nem jelentett a hibát kihasználó támadásokat, a CISA pedig nem sorolja kihasznált sebezhetőségek közé.

A kiadások más hibákat is javítanak, köztük a CVE-2026-116322 sebezhetőséget, amely lehetővé teszi, hogy egy hitelesítés nélküli kliens kényszerítse a PostgreSQL 18 szervereket az újraindításra. Javítanak kliens eszközökben lévő hibákat is: egy manipulált archívum arra készítheti a pg_restore-t, hogy azt futtassa, aki elindítja, a feltörött forrásszerver pedig arra készítheti a psql-t, hogy a pg_dump tar kimenetének visszaállító szkriptjén keresztül kódot futtasson.

Kiket érint

• PostgreSQL 18 a 18.7 előtt, 17 a 17.12 előtt, 16 a 16.16 előtt, 15 a 15.20 előtt és 14 a 14.25 előtt.
• A régebbi főverziók is érintettek, és nem kapnak frissítést. A PostgreSQL 14 már nem támogatott, a 14.25 az utolsó kiadása.
• A kockázat ott a legnagyobb, ahol olyan személyek számára, akiben nem bíznak teljesen, adatbázis-bejelentkezés áll rendelkezésre, amellyel objektumot lehet létrehozni vagy módosítani. Ide tartozik a megosztott tárhely, az ügyfeleknek átadott adatbázis és az olyan webalkalmazás, amelynek adatbázis-fiókja a saját sémáját birtokolja. Ha egy támadó átveszi az irányítást egy ilyen alkalmazás felett, például SQL-injekcióval, az adatbázis-fiókot ilyen módon is használhatja.
• Felügyelt szolgáltatások: a kutató proof of concept kódokat osztott meg az AWS (RDS, Aurora), a Microsoft (Azure PostgreSQL), a Google (AlloyDB), a Supabase, a Databricks és az Ubicloud részére. Jelenlegi javítási állapotuk nem ismert. Kérjük, ellenőrizze szolgáltatója értesítéseit.
• Azok a szerverek, amelyeken nem PostgreSQL fut, nem érintettek. A MySQL és a MariaDB nem érintett.

Teendők most

1. Készítsen biztonsági mentést a PostgreSQL konfigurációjáról (például a postgresql.conf és a pg_hba.conf fájlokról), és győződjön meg róla, hogy rendelkezik aktuális adatbázis-mentéssel.
2. Frissítse a szervert az adott főverzióhoz tartozó javított kiadásra: 18.7, 17.12, 16.16, 15.20 vagy 14.25. Ha az operációs rendszer csomagjait használja (Debian, Ubuntu, RHEL és leszármazottai), telepítse a disztribúció biztonsági közleményében felsorolt javított csomagokat, amint elérhetők. Ezután a szokásos csomagkezelővel dolgozzon (apt update && apt upgrade vagy dnf upgrade).
3. A C nyelvű bővítményeket frissítse vagy fordítsa újra ugyanakkor, mint a szervert. A projekt RPM-karbantartói figyelmeztetnek, hogy a régebbi kiadásokra épített bővítmények továbbra is betöltődnek, de lehet, hogy nem védettek. Egyes bővítményekhez forráskód-módosítás is szükséges. A PostgreSQL RPM-tárolókban lévő bővítménycsomagok mostantól megkövetelik az új kisverziót.
4. Indítsa újra a PostgreSQL-t. Ha a csomagjának saját szolgáltatásegységén kívül fut, például Patroni alatt, a frissítés után azonnal indítsa újra kézzel.
5. Kövesse a hivatalos kiadási közleményben szereplő újraindexelési lépéseket. Ha inkrementális mentéseket használ, készítsen új teljes mentést, és a későbbi inkrementális mentéseket erre alapozza.
6. Frissítse az olyan kliens eszközöket, mint a pg_dump, pg_restore, psql, reindexdb és vacuumdb, minden olyan gépen, ahol használják, beleértve a mentési gépeket és az adminisztrátori munkaállomásokat is.
7. Ne használja az új composite_type_mismatch beállítást az új ellenőrzések kikapcsolására. A projekt szerint ez biztonsági kockázatokkal jár.
8. Ha nem tud azonnal frissíteni, vegye figyelembe, hogy a projekt nem kínál megkerülő megoldást. Amíg nem tud frissíteni, tekintse át, mely fiókok hozhatnak létre vagy módosíthatnak objektumokat, különösen a webalkalmazások által használt vagy ügyfeleknek átadott fiókokat, és gondoskodjon arról, hogy a PostgreSQL ne legyen elérhető az internetről, hacsak nem szükséges.
9. Ha még mindig PostgreSQL 14 vagy régebbi verziót futtat, tervezzen frissítést egy támogatott főverzióra.

Hogyan ellenőrizheti, hogy érintett-e

• Az futó szerver verzióját a psql -c 'SELECT version();' vagy a SHOW server_version; paranccsal ellenőrizheti. A saját főverziójukon belül a 18.7, 17.12, 16.16, 15.20 vagy 14.25 előtti verziók érintettek.
• A telepített binárisokat és csomagokat a postgres -V, dpkg -l | grep postgresql vagy rpm -qa | grep postgresql paranccsal ellenőrizheti. Indítsa újra a szervert, ha a futó verzió régebbi, mint a telepített.
• A telepített bővítményeket minden adatbázisban a SELECT extname, extversion FROM pg_extension; paranccsal listázhatja. Győződjön meg róla, hogy minden C nyelvű bővítményt frissítettek vagy újrafordítottak az új kiadáshoz.
• Ellenőrizze a PostgreSQL naplóit váratlan háttérfolyamat-összeomlások után, például jel által leállított szerverfolyamatok után. A közzétett kihasználó a nem javított szervereket összeomlasztja, ezért az ilyen összeomlásokat érdemes alaposabban megvizsgálni.

Források

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/