PostgreSQL 18.2: усунення переповнення буфера у pgcrypto
12 лютого 2026 року розробники PostgreSQL випустили версію 18.2, яка містила критичне виправлення безпеки для модуля contrib/pgcrypto. Цей модуль широко використовується для криптографічних операцій безпосередньо в базі даних, зокрема для роботи з PGP-повідомленнями. Забезпечення цілісності таких операцій є критично важливим для захисту конфіденційних даних, що зберігаються в СУБД.
Технічна вразливість, зареєстрована як CVE-2026-2005, виникала через некоректну обробку PGP-повідомлень, що містили надмірно довгі ключі сесії. Під час спроби розшифрування таких повідомлень відбувалося переповнення буфера в пам'яті. Це створювало потенційну можливість для зловмисника виконати довільний код у системі, де працює сервер бази даних, що могло призвести до повного компрометування інфраструктури.
Адміністраторам баз даних, які використовують модуль pgcrypto для обробки зовнішніх або недовірених PGP-повідомлень, наполегливо рекомендується оновити PostgreSQL до версії 18.2 або новішої. Рекомендується також переглянути політики доступу до функцій розшифрування та обмежити обробку даних, отриманих із зовнішніх джерел, до моменту встановлення патча.
Використані джерела
- postgresql.org (postgresql.org)