PostgreSQL-ը շտկում է 52 թերություն, այդ թվում՝ 22 տարվա սխալ

PostgreSQL-ը թողարկել է թարմացումներ, որոնք շտկում են 52 անվտանգության թերություն, այդ թվում՝ CVE-2026-6460-ը՝ տիպերի շփոթման սխալ (CVSS 8.8), որը կարող է թույլ տալ օբյեկտներ ստեղծելու իրավունքով վավերացված օգտատերին կոդ կատարել սերվերում։ PostgreSQL Global Development Group-ը չի հաղորդել այս թերությունը շահագործող հարձակումների մասին, իսկ CISA-ն շահագործումը նշում է որպես բացակայող։

Թերությունը

CVE-2026-6460-ը ազդում է PostgreSQL-ի բոլոր տարբերակների վրա՝ մինչև 18.7, 17.12, 16.16, 15.20 և 14.25։ Այն վերաբերում է բաղադրյալ տիպերին՝ անունավորված դաշտերով, որոնցից յուրաքանչյուրն ունի իր տիպը։ Դաշտի տիպը կարող է փոխվել, մինչդեռ այդ տիպի հին արժեքները դեռ պահվում են այլուր, ուստի սերվերը հին արժեքը կարող է կարդալ իբր նոր տիպով։ Ուղղումը ավելացնում է տարբերակի ստուգումներ՝ անհամապատասխանությունը գտնելու համար։ Թերության միջոցով կատարվող կոդն ունի PostgreSQL-ը գործարկող OS օգտատիրոջ իրավունքները։

Շահագործման հետազոտություն

Անվտանգության հետազոտող Մեհմեթ Ինջեն այս շաբաթ հրապարակել է տեխնիկական նկարագրություն՝ աշխատող շահագործում PostgreSQL 18.6-ում։ Նա պատրաստում է արժեք պարունակող հարցում, փոխում է մեկ դաշտի տիպը, ապա կատարում հարցումը։ Նկարագրությունում կա SQL, որը վթարային կանգնեցնում է չթարմացված սերվերը, և երկրորդ քայլ՝ հիշողության հասցեների արտահոսք, բայց ոչ վերջնական քայլի SQL-ը՝ սերվերին հրաման կատարելու համար։ Նա գրել է, որ կարող է վթարը առաջացնել նվազագույն իրավունքներով մուտքի դերով։ Խորհրդատվությունը հարձակվողին նկարագրում է որպես օբյեկտներ ստեղծող, առանց նշելու պահանջվող իրավունքները։ Red Hat-ը ասում է, որ պետք է տվյալների բազայի մուտք՝ օբյեկտներ ստեղծելու կամ փոփոխելու հնարավորությամբ։ Այս աղբյուրներից ոչ մեկը չի ասում, թե արդյոք միայն լռելյայն իրավունքներով հաշիվը կարող է վթարից այն կողմ գնալ և կոդ կատարել։

Ինջեն թերության արմատը գտնում է 2004 թ. մայիսի 5-ին, երբ PostgreSQL-ը ստացավ սյունակի տիպը փոխելու հնարավորություն։ Նրա կոդ կատարման տեխնիկան հիմնվում է 2015 թ. մայիսի 14-ի փոփոխության վրա։ Նա նաև շահագործումը հարմարեցրել է կառավարվող PostgreSQL ծառայությունների համար և օգոստոսին ապացույցների հայեցակարգերը կիսել մատակարարների անվտանգության թիմերի հետ։

Այլ ուղղումներ

Նախագիծը CVE-2026-6460-ի համար շնորհակալություն է հայտնում ավելի քան մեկ տասնյակ հաղորդողներին և Ինջեին՝ նույն թողարկման ևս հինգ թերությունների համար։ 52 թերություններից 32-ը գնահատվում է 8.8՝ թողարկման ամենաբարձր միավորը։ Ըստ խոցելիության ինդեքսի՝ միայն մեկ սերվերային թերություն չի պահանջում ոչ մուտք, ոչ օգտատիրոջ գործողություն. CVE-2026-116322-ը թույլ է տալիս չվավերացված հաճախորդին վերագործարկել PostgreSQL 18 սերվերները։ Հաճախորդային գործիքների ուղղումները ներառում են հատուկ պատրաստված արխիվ, որը կարող է ստիպել pg_restore-ին կոդ կատարել իր օգտատիրոջ անունից, և վտանգված աղբյուր սերվեր, որը կարող է ստիպել psql-ին կոդ կատարել pg_dump-ի tar արդյունքի միջոցով։

Ադմինիստրատորի գործողություններ

Թարմացրեք սերվերը մինչև 18.7, 17.12, 16.16, 15.20 կամ 14.25՝ համապատասխան հիմնական տարբերակով։ Միաժամանակ վերակառուցեք կամ թարմացրեք յուրաքանչյուր C լեզվի ընդլայնում։ Հին թողարկումների համար կառուցված ընդլայնումները դեռ բեռնվում են, բայց կարող են չպաշտպանված լինել այս թողարկման շտկումներից։ Եթե PostgreSQL-ը գործում է փաթեթի սեփական ծառայության միավորից դուրս, օրինակ՝ Patroni-ի ներքո, թարմացումից հետո անմիջապես վերագործարկեք այն։ Թարմացրեք հաճախորդային գործիքները, ինչպիսիք են pg_dump-ը, pg_restore-ը, reindexdb-ն և vacuumdb-ն, յուրաքանչյուր մեքենայում։ Մի օգտագործեք նոր composite_type_mismatch կարգավորումը՝ ստուգումները անջատելու համար, քանի որ նախագիծը ասում է, որ դա անվտանգության ռիսկեր է պարունակում։ Խորհրդատվությունը և թողարկման նշումները շրջանցում չեն առաջարկում չթարմացվող սերվերների համար։

PostgreSQL 14-ը կյանքի ավարտին է, իսկ 14.25-ը՝ նրա վերջին թողարկումը։ Ավելի հին հիմնական տարբերակները նույնպես տուժած են և թարմացում չեն ստացել։ Թարմացումից հետո հետևեք թողարկման հայտարարության վերաինդեքսավորման քայլերին։ Եթե օգտագործում եք աճող պահուստներ, կատարեք նոր լիարժեք պահուստ և հետագա աճող պահուստները հիմնեք դրա վրա։

Աղբյուրներ: The Hacker News