Η κοινότητα ανάπτυξης της PostgreSQL κυκλοφόρησε σημαντικές ενημερώσεις που διορθώνουν 52 συνολικά κενά ασφαλείας, με πιο αξιοσημείωτη μια ευπάθεια τύπου confusion που εντοπίζεται στα σύνθετα δεδομένα και καταγράφεται ως CVE-2026-6460 με βαθμολογία CVSS 8.8.
Το πρόβλημα αυτό, το οποίο εντοπίζεται ιστορικά στον κώδικα από τον Μάιο του 2004, επιτρέπει σε έναν χρήστη βάσης δεδομένων που διαθέτει δικαιώματα δημιουργίας αντικειμένων να εκτελέσει κώδικα στον διακομιστή χρησιμοποιώντας τα δικαιώματα του λειτουργικού συστήματος. Η ευπάθεια αφορά σύνθετους τύπους δεδομένων, όπου η αλλαγή του τύπου ενός πεδίου ενόσω παλαιότερες τιμές εξακολουθούν να διατηρούνται οδηγεί τον διακομιστή στο να διαβάσει μια παλιά τιμή σαν να είχε τον νέο τύπο.
Ο ερευνητής ασφαλείας Mehmet Ince δημοσίευσε τεχνική ανάλυση και λειτουργικό κώδικα εκμετάλλευσης που δοκιμάστηκε σε PostgreSQL 18.6, δείχνοντας πώς η προετοιμασία ενός ερωτήματος, η αλλαγή τύπου πεδίου και η εκτέλεση μπορούν να προκαλέσουν κατάρρευση του διακομιστή και διαρροή μνήμης. Παρόλο που ο οργανισμός CISA και η PostgreSQL Global Development Group δεν έχουν αναφέρει επιθέσεις στον πραγματικό κόσμο, ο Ince συνεργάστηκε από τον Αύγουστο με μεγάλους παρόχους cloud για την προληπτική θωράκιση των υποδομών τους.
PostgreSQL: Επίδραση σε υπηρεσίες cloud και μέτρα προστασίας για τους διαχειριστές
Οι επηρεαζόμενες εκδόσεις περιλαμβάνουν όλες τις εκδόσεις πριν από τις 18.7, 17.12, 16.16, 15.20 και 14.25, με την έκδοση 14 να φτάνει πλέον στο τέλος του κύκλου ζωής της. Στους παρόχους που ενημερώθηκαν περιλαμβάνονται οι AWS Aurora και RDS, Microsoft Azure PostgreSQL, Google AlloyDB, Supabase, Databricks και Ubicloud. Οι διαχειριστές συστημάτων αντιμετωπίζουν μια σειρά από κρίσιμα βήματα για να διασφαλίσουν τα συστήματά τους.
Απαιτείται άμεση ενημέρωση του διακομιστή και των εργαλείων πελάτη, όπως τα pg_dump, pg_restore, reindexdb και vacuumdb. Επιπλέον, κάθε επέκταση γλώσσας C που είναι εγκατεστημένη στον διακομιστή πρέπει να μεταγλωττιστεί εκ νέου, καθώς οι παλαιότερες εκδόσεις δεν προστατεύονται από τις νέες διορθώσεις. Οι ειδικοί τονίζουν επίσης ότι τα εργαλεία και τα αντίγραφα ασφαλείας πρέπει να ακολουθήσουν τις προβλεπόμενες διαδικασίες ανακατασκευής και επαναφοράς.
