PostgreSQL CVE-2026-6460: uporabniki baze, ki lahko ustvarjajo objekte, lahko izvedejo kodo na strežniku

Kaj se je zgodilo

Dne 12. novembra 2026 je PostgreSQL Global Development Group izdala PostgreSQL 18.7, 17.12, 16.16, 15.20 in 14.25. Po navedbah spletnega mesta The Hacker News te izdaje odpravljajo 52 varnostnih napak. Najresnejša je CVE-2026-6460 (CVSS 8.8), napaka zamenjave tipov v jedru strežnika.

Uporabnik baze, ki lahko ustvarja objekte, lahko z ukazom ALTER ... SET DATA TYPE doseže, da strežnik prebere zastarelo vrednost, kot da ima nov tip. Enako lahko naredijo tudi drugi DDL ukazi, na primer ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Tako lahko uporabnik izvede poljubno kodo kot operacijski sistemski uporabnik, ki zaganja PostgreSQL. Popravek dodaja preverjanja različic, da lahko strežnik zazna vrednosti, ki se ne ujemajo več s svojim tipom.

Varnostni raziskovalec Mehmet Ince je objavil tehnični opis z delujočim izkoriščanjem, ki ga je prikazal na PostgreSQL 18.6. Opis vključuje SQL, ki strežnik brez popravka zruši, in korak, ki uhaja naslove pomnilnika. Ne vključuje končnega koraka, ki zažene ukaz. Zapisal je, da je lahko sprožil zrušitev kot prijavna vloga z najmanjšimi pravicami. Viri ne navajajo, ali lahko račun z zgolj privzetimi pravicami gre dlje in izvede kodo. Red Hat navaja, da napadalec potrebuje prijavo v bazo, ki lahko ustvarja ali spreminja objekte.

Projekt PostgreSQL ni poročal o nobenem napadu, ki bi izkoriščal to napako, CISA pa je ne uvršča med izkoriščane ranljivosti.

Iste izdaje odpravljajo tudi druge napake, vključno s CVE-2026-116322, ki lahko neavtenticiran odjemalec prisili, da znova zažene strežnike PostgreSQL 18. Odpravljajo tudi napake v odjemalskih orodjih: sestavljen arhiv lahko povzroči, da pg_restore izvede kodo kot uporabnik, ki ga zaganja, prav tako lahko okužen izvorni strežnik povzroči, da psql izvede kodo prek skripte za obnovo v tar izhodu pg_dump.

Kdo je prizadet

• PostgreSQL 18 pred 18.7, 17 pred 17.12, 16 pred 16.16, 15 pred 15.20 in 14 pred 14.25.
• Prizadete so tudi starejše glavne različice, ki posodobitve ne bodo prejele. PostgreSQL 14 je zdaj ob koncu življenjske dobe, 14.25 pa je njegova zadnja izdaja.
• Tveganje je najvišje na strežnikih, kjer imajo ljudje, ki jim ne zaupate popolnoma, prijavo v bazo, ki lahko ustvarja ali spreminja objekte. To vključuje deljeno gostovanje, baze, predane strankam, in spletne aplikacije, katerih račun v bazi je lastnik njihove sheme. Če napadalec prevzame takšno aplikacijo, na primer prek SQL injekcije, lahko morda na ta način uporabi njen račun v bazi.
• Upravljane storitve: raziskovalec je dokaze koncepta delil z AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks in Ubicloud. Trenutno stanje popravkov ni znano. Preverite obvestila svojega ponudnika.
• Strežniki, na katerih ne teče PostgreSQL, niso prizadeti. MySQL in MariaDB nista prizadeta.

Kaj storiti zdaj

1. Varnostno kopirajte konfiguracijo PostgreSQL (na primer postgresql.conf in pg_hba.conf) in poskrbite, da imate aktualno varnostno kopijo baze.
2. Posodobite strežnik na popravljeno izdajo za svojo glavno različico: 18.7, 17.12, 16.16, 15.20 ali 14.25. Če uporabljate pakete iz svoje distribucije (Debian, Ubuntu, RHEL in podobne), namestite popravljene pakete, navedene v opozorilu vaše distribucije, takoj ko bodo na voljo. Nato uporabite upravitelja paketov kot običajno (apt update && apt upgrade ali dnf upgrade).
3. Posodobite ali znova zgradite vsako razširitev v jeziku C hkrati s strežnikom. Vzdrževalci RPM paketov projekta opozarjajo, da se razširitve, zgrajene za starejše izdaje, še vedno naložijo, vendar morda niso zaščitene. Nekatere razširitve potrebujejo tudi spremembe izvorne kode. Paketi razširitev v repozitorijih PostgreSQL RPM zdaj zahtevajo novo manjšo izdajo.
4. Znova zaženite PostgreSQL. Če teče zunaj lastne storitvene enote paketa, na primer pod Patronijem, ga po posodobitvi ročno znova zaženite.
5. Sledite korakom za ponovno indeksiranje iz uradnega obvestila o izdaji. Če uporabljate inkrementalne varnostne kopije, naredite novo polno varnostno kopijo in prihodnje inkrementalne kopije temeljite nanjo.
6. Posodobite odjemalska orodja, kot so pg_dump, pg_restore, psql, reindexdb in vacuumdb, na vsakem računalniku, ki jih uporablja, vključno z gostitelji za varnostno kopiranje in skrbniškimi delovnimi postajami.
7. Ne uporabljajte nove nastavitve composite_type_mismatch za izklop novih preverjanj. Projekt pravi, da to prinaša varnostna tveganja.
8. Če ne morete takoj posodobiti, vedite, da projekt ne ponuja nadomestne rešitve. Dokler ne morete posodobiti, preglejte, kateri računi lahko ustvarjajo ali spreminjajo objekte, zlasti računi, ki jih uporabljajo spletne aplikacije ali so predani strankam, in poskrbite, da PostgreSQL ni dosegljiv z interneta, razen če to potrebujete.
9. Če še vedno uporabljate PostgreSQL 14 ali starejšo različico, načrtujte nadgradnjo na podprto glavno različico.

Kako preveriti, ali ste prizadeti

• Preverite različico delujočega strežnika z ukazom psql -c 'SELECT version();' ali SHOW server_version;. Različice pod 18.7, 17.12, 16.16, 15.20 ali 14.25 znotraj svoje glavne serije so prizadete.
• Preverite nameščene binarne datoteke in pakete z ukazi postgres -V, dpkg -l | grep postgresql ali rpm -qa | grep postgresql. Če je delujoča različica starejša od nameščene, znova zaženite strežnik.
• Seznam nameščenih razširitev dobite z ukazom SELECT extname, extversion FROM pg_extension; v vsaki bazi. Poskrbite, da je bila vsaka razširitev v jeziku C posodobljena ali znova zgrajena za novo izdajo.
• Preglejte dnevnike PostgreSQL za nepričakovane zrušitve procesov strežnika, na primer procese, ki jih je prekinil signal. Objavljeno izkoriščanje zruši strežnike brez popravka, zato so takšne zrušitve vredne podrobnejšega pregleda.

Viri

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/