CVE-2026-105620

PostgreSQL Anonymizer w wersjach przed 3.3.0 pozostawia statystyki dotyczące oryginalnych danych widoczne w pg_stats do momentu wykonania ANALYZE na tabeli (ręcznie lub przez autovacuum). Może to ujawnić informacje o zamaskowanych danych.

Funkcje anon.partial() i anon.partial_email() w PostgreSQL Anonymizer przed wersją 3.3.0 mogą ujawnić całe dane, jeśli są one wystarczająco krótkie. Problem został naprawiony w wersji 3.3.0.

PostgreSQL Anonymizer przed wersją 3.3.0 nieprawidłowo obsługuje funkcje anonimizujące zdefiniowane za pomocą ciał funkcji w standardzie SQL. PostgreSQL analizuje takie funkcje w momencie deklaracji, podczas gdy Anonymizer sprawdza je dopiero przy wykonaniu, co może wykorzystać każdy użytkownik z uprawnieniem TEMPORARY.

PostgreSQL Anonymizer przed wersją 3.3.0 nie maskuje danych dostępnych przez widok z opcją security_invoker. Problem został rozwiązany w wersji 3.3.0.

Dokumentacja PostgreSQL Anonymizer zaleca stosowanie reguł na partycjach i tabelach dziedziczących, jednak bezpośredni dostęp do partycji jest maskowany, a dostęp przez tabelę nadrzędną już nie. Problem został rozwiązany w wersji 3.3.0.

PostgreSQL Anonymizer przed wersją 3.3.0 nie unieważnia planów przygotowanych po dodaniu reguły lub zmianie roli. Użytkownicy korzystający z takich planów mogą nadal widzieć niezamaskowane dane do końca sesji.

PostgreSQL ogranicza dostęp do salt i shift przez polecenie SHOW dla użytkowników spoza pg_read_all_settings, ale wartości te są widoczne w pg_db_role_setting lub pg_roles, jeśli ustawiono je na poziomie bazy danych, użytkownika lub obu. Dokumentacja PostgreSQL Anonymizer zaleca używanie ALTER DATABASE / ALTER ROLE dla salt; problem rozwiązano w wersji 3.3.0.

Zoptymalizowane statystyki tabeli w PostgreSQL są widoczne dla każdego, kto ma uprawnienie SELECT na tej tabeli. Zamaskowana rola może więc odczytać ograniczony podzbiór danych poprzez histogramy i MCV w widoku statystyk.

Funkcja anon.image_blur() w PostgreSQL Anonymizer przed wersją 3.3.0 nie sprawdza zadeklarowanych wymiarów dostarczonego obrazu, co pozwala atakującemu podać mały obraz z ogromnymi zadeklarowanymi wymiarami. Może to wyczerpać pamięć backendu i doprowadzić do OOM-kill oraz odzyskiwania klastra po awarii.

Funkcje generujące dane zastępcze oparte na zakresach w PostgreSQL Anonymizer nie ograniczają rozmiaru zakresu. Można to wykorzystać do wyczerpania pamięci procesu backendu i jego zabicia przez OOM killer (przy włączonym overcommit), co prowadzi do awaryjnego odzyskiwania całego klastra.