PostgreSQL 52 qüsuru, o cümlədən 22 illik səhvi aradan qaldırır

PostgreSQL, serverdə kod icra etməyə imkan verə bilən, 8.8 CVSS balına malik tip qarışıqlığı səhvi CVE-2026-6460 daxil olmaqla, 52 təhlükəsizlik qüsurunu düzəldən yeniləmələri buraxıb. PostgreSQL Global Development Group qüsurdan istifadə edən hücum bildirməyib; CISA istismarın olmadığını qeyd edib.

Qüsur

CVE-2026-6460 18.7, 17.12, 16.16, 15.20 və 14.25 versiyalarından əvvəlki bütün PostgreSQL versiyalarına təsir edir. O, hər birinin öz məlumat tipi olan adlı sahələrdən qurulan kompozit tiplərlə bağlıdır. Bir sahənin tipi dəyişdirilə bilər, halbuki həmin tipin köhnə dəyərləri başqa yerdə saxlanılır; buna görə server köhnə dəyəri yeni tipə malikmiş kimi oxuya bilər. Düzəliş uyğunsuzluğu aşkar etmək üçün versiya yoxlamaları əlavə edir. Qüsur vasitəsilə icra olunan kod PostgreSQL-i işlədən əməliyyat sistemi istifadəçisinin hüquqlarına malikdir.

İstismar araşdırması

Təhlükəsizlik tədqiqatçısı Mehmet Ince bu həftə PostgreSQL 18.6 üçün işləyən istismarı təsvir edən texniki məqalə dərc edib. Onun üsulu dəyər saxlayan sorğu hazırlayır, bir sahənin tipini dəyişdirir, sonra sorğunu icra edir. Məqalə yamaqlanmamış serveri çökdürən SQL və yaddaş ünvanlarını sızdıran ikinci addımı əhatə edir, lakin serveri əmr icra etməyə məcbur edən son addımın SQL-ini vermir. O, ən aşağı imtiyazlı giriş rolunda çökməni işə sala bildiyini yazıb. Məsləhət hücumçunu obyekt yarada bilən şəxs kimi təsvir edir, tələb olunan imtiyazları göstərmir. Red Hat bildirir ki, hücumçuya obyekt yarada və ya dəyişdirə bilən verilənlər bazası girişi lazımdır. Bu mənbələrin heç biri yalnız standart imtiyazlı hesabın çökmədən kənara çıxıb kod icra edə bilib-bilməyəcəyini göstərmir.

Ince qüsurun kökünü 2004-cü il mayın 5-nə, PostgreSQL-in sütun tipini dəyişmək imkanı əldə etdiyi vaxta izləyir. Onun kod icra üsulu 2015-ci il mayın 14-də edilmiş sonrakı dəyişiklikdən asılıdır. O, həmçinin istismarı idarə olunan PostgreSQL xidmətləri üçün uyğunlaşdırıb və avqustda provayderlərin təhlükəsizlik komandalarına nümunə istismar kodları göndərib.

Digər düzəlişlər

Layihə CVE-2026-6460 üçün ondan çox reportera təşəkkür edir və eyni buraxılışda Ince-ni beş başqa qüsurda qeyd edir. O, 52 qüsurdan 32-ni 8.8 ilə, buraxılışın ən yüksək balı ilə qiymətləndirir. Zəiflik indeksinə görə, yalnız bir server qüsuru nə giriş, nə də istifadəçi əməliyyatı tələb edir: CVE-2026-116322 autentifikasiya olunmamış müştəriyə PostgreSQL 18 serverlərini yenidən başlatmağa imkan verir. Müştəri alətləri düzəlişləri arasında istifadəçisi kimi kod icra edə bilən pg_restore-u işə sala bilən hazırlanmış arxiv və pg_dump-ın tar çıxışı ilə psql-i kod icra etməyə məcbur edə bilən kompromisləşdirilmiş mənbə server var.

Administrator tədbirləri

Serveri əsas versiyaya uyğun olaraq 18.7, 17.12, 16.16, 15.20 və ya 14.25 versiyasına yeniləyin. Eyni zamanda hər bir C dili genişlənməsini yenidən qurun və ya yeniləyin. Köhnə buraxılışlara qarşı qurulmuş genişlənmələr hələ də yüklənir, lakin bu buraxılışdakı düzəlişlərdən qorunmaya bilər. PostgreSQL öz paketinin xidmət vahidindən kənarda, məsələn Patroni altında işləyirsə, yenilədikdən dərhal yenidən başladın. pg_dump, pg_restore, reindexdb və vacuumdb kimi müştəri alətlərini onları işlədən hər maşında yeniləyin. Yeni composite_type_mismatch parametrindən yoxlamaları söndürmək üçün istifadə etməyin; layihə bunun təhlükəsizlik riskləri daşıdığını bildirir. Məsləhət və buraxılış qeydləri hələ yenilənə bilməyən serverlər üçün alternativ təklif etmir.

PostgreSQL 14 artıq xidmət müddətini başa vurub; 14.25 onun son buraxılışıdır. Köhnə əsas versiyalar da təsirlənib, yeniləmə almayıb. Yenilədikdən sonra buraxılış elanındakı yenidən indeksləmə addımlarına əməl edin. Artan ehtiyat nüsxələrindən istifadə edirsinizsə, yeni tam ehtiyat nüsxəsi götürün və sonrakıları ona əsaslandırın.

Mənbələr: The Hacker News