Уязвимость BDU:2026-01722 (CVE-2026-2005) системы управления базами данных PostgreSQL связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить удаленному нарушителю выполнить произвольный код с правами пользователя операционной системы, от имени которого запущена база данных.
Уязвимые версии:
- PostgreSQL: до 14.21, до 15.16, до 16.12, до 17.8, до 18.2
- СУБД «Platform V Pangolin DB»: до 6.4.2-cve5
- СУБД «Tantor»: до 15.17, до 16.13, до 17.9
- Postgres Pro Certified: до 14.22.1, до 15.17.1, до 16.13.1, до 17.9.1, до 18.3.1
- Postgres Pro Enterprise: до 14.22.1, до 15.17.1, до 16.13.1, до 17.9.2, до 18.3.2
Уровень опасности: 8.8 Высокий
Расшифровка вектора:
- AV:N — Вектор атаки: Сетевой
- AC:L — Сложность атаки: Низкая
- PR:L — Уровень привилегий: Низкий
- UI:N — Взаимодействие с пользователем: Не требуется
- S:U — Влияние на другие компоненты системы: Не оказывает
- C:H — Влияние на конфиденциальность: Высокое
- I:H — Влияние на целостность: Высокое
- A:H — Влияние на доступность: Высокое
Условия эксплуатации:
- Расширение 🔒 установлено в базе данных (🔒).
- Атакующий имеет 🔒🔒🔒.
- Сетевой доступ к серверу PostgreSQL и 🔒.
- Возможность выполнить 🔒🔒.
Устраняется обновлением (🔒).
Proof of concept для данной уязвимости (🔒).
🔒 Закрытый канал на Sponsr.ru
Что доступно в канале:
Условия эксплуатации уязвимостей — анализ, которого нет в открытых источниках
Ссылки на эксплоиты для проверки своих систем
Еженедельная рассылка условий эксплуатации новых уязвимостей
Подпишись на закрытый канал → | О канале c примерами рассылки