CVE-2026-6665

PgBouncer w wersji 1.6.x przed 1.6.1, skonfigurowany z auth_user, umożliwia zdalnym atakującym uzyskanie dostępu do logowania jako auth_user za pomocą nieznanej nazwy użytkownika.

PgBouncer w wersjach przed 1.5.5 umożliwia zdalnym atakującym spowodowanie awarii usługi (denial of service) poprzez wysłanie pakietu z hasłem przed pakietem startowym, co prowadzi do dereferencji wskaźnika NULL.

PgBouncer do wersji 1.25.2 nie ogranicza górnej granicy liczby iteracji wyprowadzania klucza podczas uwierzytelniania SCRAM do serwera backendowego. Złośliwy lub przejęty backend PostgreSQL może wymusić niekontrolowane zużycie CPU w PgBouncer, a procesu wyprowadzania klucza nie można przerwać w buildach frontendowych.

Przepełnienie liczby całkowitej w logice wzrostu bufora pakietów w PgBouncer do wersji 1.25.2 pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi. Odpowiednio duże dane wejściowe powodują przepełnienie obliczenia rozmiaru bufora, pozostawiając pętlę wzrostu niezdolną do zakończenia. Ponieważ PgBouncer obsługuje wszystkich klientów z jednego procesu, to nasyca rdzeń CPU i blokuje wszystkie połączone połączenia, dopóki proces nie zostanie zabity. Zarówno nieuwierzytelnione, jak i uwierzytelnione ścieżki kodu mogą osiągnąć przepełnienie.

Brak walidacji obowiązkowego atrybutu w parserze SCRAM client-final-message w PgBouncer do wersji 1.25.2 pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie awarii procesu. Źle sformułowana wiadomość może sprawić, że parser zgłosi sukces, pozostawiając wymaganą wartość nieustawioną, która następnie jest wyłuskiwana jako wskaźnik NULL. Awaria następuje przed weryfikacją jakichkolwiek poświadczeń, więc nie jest wymagane żadne ważne konto. Ponieważ PgBouncer obsługuje wszystkich klientów z jednego procesu, to kończy wszystkie połączone połączenia.

PgBouncer przed wersją 1.25.2 nie przeprowadzał odpowiedniej kontroli autoryzacji dla polecenia administracyjnego KILL_CLIENT. Każdy użytkownik z dostępem do konsoli administracyjnej mógł je wykonać, zamiast tylko użytkownicy z listy admin_users.

W PgBouncer przed wersją 1.25.2 istnieje możliwość wywołania awarii poprzez odwołanie do pustego wskaźnika. Dzieje się tak, gdy serwer wyśle odpowiedź błędu bez pola SQLSTATE.

W PgBouncer przed wersją 1.25.2 występuje przepełnienie liczby całkowitej podczas parsowania pakietów sieciowych, które omija sprawdzenie granic i może prowadzić do awarii. Nieuwierzytelniony zdalny atakujący może spowodować crash PgBouncer za pomocą spreparowanego pakietu uwierzytelniania SCRAM.