CVE-2026-54291
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Sterownik JDBC dla PostgreSQL (pgjdbc) w wersjach 42.7.4 do 42.7.11 umożliwia ciche obniżenie poziomu uwierzytelniania SCRAM-SHA-256-PLUS z wiązaniem kanału do zwykłego SCRAM-SHA-256 bez niego. Atakujący typu man-in-the-middle może wykorzystać certyfikat bez odpowiedniego skrótu wiązania kanału, aby wymusić tę degradację i ominąć ochronę.
Ocena ryzyka
Organizacja narażona jest na ataki typu man-in-the-middle na połączenia z bazą PostgreSQL, co może prowadzić do przechwycenia lub modyfikacji danych przesyłanych między aplikacją a bazą danych.
Rekomendacja
Należy niezwłocznie zaktualizować sterownik pgjdbc do wersji 42.7.12 lub nowszej, która zawiera poprawkę uniemożliwiającą ciche obniżenie poziomu uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
pgjdbc is an open source postgresql JDBC Driver. In releases 42.7.4 through 42.7.11, channelBinding=require connections can be silently downgraded from SCRAM-SHA-256-PLUS with channel binding to plain SCRAM-SHA-256 without it, losing the man-in-the-middle protection the setting is meant to guarantee. An attacker who can intercept the TLS connection can trigger the downgrade with a certificate whose signature algorithm has no tls-server-end-point channel-binding hash, because the bundled com.ongres.scram:scram-client returns an empty byte array instead of failing and pgJDBC ScramAuthenticator checks only that the server advertised a PLUS mechanism, without rejecting the empty binding or checking that the negotiated mechanism uses channel binding. This issue is fixed in version 42.7.12.