Podatności PostgreSQL

Wersje PostgreSQL 10.x przed 10.1, 9.6.x przed 9.6.6, 9.5.x przed 9.5.10, 9.4.x przed 9.4.15 oraz 9.3.x przed 9.3.20 mają wadliwe wywołania funkcji json_populate_recordset lub jsonb_populate_recordset, co może prowadzić do awarii serwera lub ujawnienia kilku bajtów pamięci serwera.

Wersje PostgreSQL przed 9.4.13, 9.5.8 i 9.6.4 są podatne na błąd autoryzacji, który pozwala zdalnym, uwierzytelnionym atakującym bez uprawnień do dużego obiektu na nadpisanie całej zawartości obiektu, co prowadzi do odmowy usługi.

Wersje PostgreSQL przed 9.2.22, 9.3.18, 9.4.13, 9.5.8 i 9.6.4 mają lukę w autoryzacji, która pozwala zdalnym, uwierzytelnionym atakującym na odzyskanie haseł z map użytkowników zdefiniowanych przez właścicieli zdalnych serwerów, bez posiadania odpowiednich uprawnień.

W niektórych funkcjach estymacji selektywności w PostgreSQL przed wersją 9.2.21, 9.3.x przed 9.3.17, 9.4.x przed 9.4.12, 9.5.x przed 9.5.7 oraz 9.6.x przed 9.6.3 nie sprawdzano uprawnień użytkownika przed udostępnieniem informacji z pg_statistic, co może prowadzić do wycieku danych. Atakujący bez odpowiednich uprawnień mógł wykorzystać tę lukę do kradzieży informacji z tabel, do których normalnie nie miałby dostępu.

PostgreSQL w wersjach przed 9.1.23, 9.2.x przed 9.2.18, 9.3.x przed 9.3.14, 9.4.x przed 9.4.9 oraz 9.5.x przed 9.5.4 może pozwolić zdalnym uwierzytelnionym użytkownikom z rolą CREATEDB lub CREATEROLE na uzyskanie uprawnień superużytkownika poprzez niewłaściwe przetwarzanie znaków specjalnych w nazwach baz danych lub ról.

PostgreSQL w wersjach przed 9.1.23, 9.2.x przed 9.2.18, 9.3.x przed 9.3.14, 9.4.x przed 9.4.9 oraz 9.5.x przed 9.5.4 pozwala zdalnym uwierzytelnionym użytkownikom na wywołanie odmowy usługi (dereferencja wskaźnika NULL i awaria serwera), uzyskanie wrażliwych informacji z pamięci lub potencjalne wykonanie dowolnego kodu poprzez (1) wyrażenie CASE w subwyrażeniu wartości testowej innego CASE lub (2) wstawienie funkcji SQL implementującej operator równości używanego w wyrażeniu CASE z wartościami różnych typów.

PostgreSQL w wersjach przed 9.5.x i 9.5.2 nieprawidłowo utrzymuje status zabezpieczeń wierszy w planach pamięci podręcznej, co może pozwolić atakującym na obejście zamierzonych ograniczeń dostępu.

PostgreSQL w wersjach przed 9.1.20, 9.2.x przed 9.2.15, 9.3.x przed 9.3.11, 9.4.x przed 9.4.6 oraz 9.5.x przed 9.5.1 jest podatny na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez nieskończoną pętlę lub przepełnienie bufora.

PostgreSQL w wersjach przed 9.1.20, 9.2.x przed 9.2.15, 9.3.x przed 9.3.11, 9.4.x przed 9.4.6 oraz 9.5.x przed 9.5.1 nie ogranicza prawidłowo dostępu do nieokreślonych ustawień konfiguracyjnych (GUCS) dla PL/Java. To umożliwia atakującym uzyskanie uprawnień za pomocą nieokreślonych wektorów.

W PostgreSQL w rozszerzeniu PL/Perl wykryto nieprawidłową kontrolę zmiennych środowiskowych, co pozwala nieuprzywilejowanemu użytkownikowi bazy danych na zmianę wrażliwych zmiennych środowiskowych procesu (np. PATH). To często wystarcza do uzyskania możliwości wykonania dowolnego kodu, nawet jeśli atakujący nie ma konta systemowego na serwerze bazy danych.

W PostgreSQL wykryto nieprawidłowe przypisanie uprawnień, które pozwala mniej uprzywilejowanemu użytkownikowi aplikacji na przeglądanie lub zmianę innych wierszy niż zamierzone. Atak wymaga użycia przez aplikację SET ROLE, SET SESSION AUTHORIZATION lub równoważnej funkcji. Problem występuje, gdy zapytanie aplikacji używa partycjonowania (partitioning).

W PostgreSQL wbudowane widoki pg_stats_ext i pg_stats_ext_exprs mają brak autoryzacji, co pozwala nieuprzywilejowanemu użytkownikowi bazy danych na odczytanie najczęściej występujących wartości i innych statystyk z poleceń CREATE STATISTICS innych użytkowników. Najczęściej występujące wartości mogą ujawnić dane kolumn, których podsłuchujący nie mógłby inaczej zobaczyć.

W PostgreSQL podczas walidacji kodowania GB18030 występuje błąd odczytu poza buforem (buffer over-read). Osoba dostarczająca dane do bazy może spowodować tymczasową odmowę usługi (DoS) na platformach, gdzie jednobajtowy odczyt poza zakresem prowadzi do zakończenia procesu. Podatność dotyczy serwera bazy danych oraz biblioteki libpq.

W PostgreSQL w narzędziu pg_dump występuje podatność typu TOCTOU (Time-of-check Time-of-use). Osoba tworząca obiekt może podmienić inny typ relacji na widok lub tabelę zewnętrzną, co pozwala na wykonanie dowolnych funkcji SQL z uprawnieniami użytkownika uruchamiającego pg_dump, często superużytkownika. Atak wymaga oczekiwania na odpowiedni moment.

W PostgreSQL wykryto niekompletne śledzenie tabel z zabezpieczeniami na poziomie wierszy (row security), co pozwala ponownie używanemu zapytaniu na przeglądanie lub zmianę innych wierszy niż zamierzone. Poprawki z CVE-2023-2455 i CVE-2016-2193 nie obejmują przypadków z podzapytaniami, WITH ani security invoker views.

W PostgreSQL klient może używać komunikatów błędów serwera, który nie jest zaufany w ramach bieżących ustawień SSL lub GSS, co pozwala serwerowi na dostarczenie dowolnych bajtów innych niż NUL do aplikacji libpq. Na przykład atakujący typu man-in-the-middle może wysłać długi komunikat błędu, który użytkownik psql może błędnie zinterpretować.

Ta podatność pozwala operatorowi kopii zapasowych (Backup Operator) na zdalne wykonanie kodu (RCE) jako użytkownik postgres poprzez wysłanie złośliwego parametru interval lub order.

Wersje PostgreSQL przed 9.2.22, 9.3.18, 9.4.13, 9.5.8 i 9.6.4 są podatne na błąd w autoryzacji, który umożliwia zdalnym atakującym uzyskanie dostępu do kont baz danych z pustym hasłem.

W PostgreSQL, w dekodowaniu logicznym, brak autoryzacji pozwala nie-superuserowi posiadającemu uprawnienie REPLICATION na załadowanie dowolnego pliku widocznego dla konta systemu operacyjnego uruchamiającego serwer, poprzez wybór pluginu dekodowania logicznego. To z kolei umożliwia wykonanie dowolnego kodu jako to konto. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL brak autoryzacji w niektórych poleceniach DDL pozwala twórcy obiektu na przeprowadzenie ataku DoS na operacje ALTER i DROP typu, poprzez utworzenie zależności od tego typu. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL polecenie ALTER TABLE ALTER TYPE błędnie przypisuje właściciela zależnych obiektów statystyk bieżącemu użytkownikowi. To pozwala właścicielowi tabeli na wykonywanie DROP STATISTICS i ALTER STATISTICS, a jednocześnie uniemożliwia to poprzedniemu właścicielowi obiektów statystyk. W wielu konfiguracjach DROP TABLE nadal usuwa obiekty statystyk, więc exploit często nie przynosi efektu.

W PostgreSQL, w psql, podczas operacji COPY, może dojść do włączenia niezaufanych danych, co pozwala administratorowi serwera na spowodowanie wykonania linii danych jako poleceń psql, poprzez wstrzyknięcie błędu. Jeśli polecenie "COPY FROM STDIN" lub "\copy FROM STDIN" zakończy się niepowodzeniem przed wskazaniem przez serwer oczekiwania na wiersze wejściowe, psql przetwarza wiersze danych jako polecenia psql. "COPY FROM" z nazwą pliku nie jest dotknięte. Administrator serwera nie ma bezpośredniej kontroli nad wierszami danych, więc pełny atak wymaga od atakującego osobnego przejęcia kontroli nad serwerem i wierszami danych. Alternatywnie, atakujący kontrolujący tylko wiersze danych może przeprowadzić atak przez przypadkowy błąd, którego nie kontroluje. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w pg_dump w PostgreSQL przy długich listach transformacji funkcji pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający pg_dump, poprzez spreparowaną listę transformacji. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w pg_dump, występuje włączenie niezaufanych danych, które pozwala złośliwemu superuserowi serwera źródłowego na wstrzyknięcie dowolnego kodu do wykonania podczas przywracania jako konto systemu operacyjnego klienta uruchamiające psql, poprzez rozszerzenie danych wejściowych meta-polecenia psql \restrict. Poprawka dla CVE-2025-8714 wprowadziła \restrict i \unrestrict w celu zablokowania tego ataku, ale samo \unrestrict było wystarczające do ataku. pg_dumpall jest również dotknięte. pg_restore jest dotknięte, gdy jest używane do generowania zrzutu w formacie plain. Nie-rdzeniowe użycie \restrict byłoby dotknięte, ale nie zidentyfikowano takiego użycia. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL funkcja SQL ascii() zawiera błąd odczytu poza bufor, który pozwala użytkownikowi ujawnić do 3 bajtów poza końcem określonej alokacji, poprzez spreparowaną wartość tekstową. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL ECPG występuje niedomiar liczby całkowitej, który pozwala administratorowi serwera bazy danych na wywołanie tymczasowej odmowy usługi wobec klienta ECPG poprzez wysłanie wartości bytea bez wymaganego prefiksu. Klient nadpisuje ogromny obszar pamięci bajtami spoza kontroli atakującego, co zwykle powoduje SIGSEGV, ale w rzadkich przypadkach może prowadzić do naruszenia integralności klienta.

Pomylenie typów w cyklu życia "portalu"/kursora w PostgreSQL pozwala użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ponowne utworzenie kursora lub innego portalu z różnymi typami. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji pg_restore_attribute_stats(), występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez pomieszanie wartości range i multirange. W obrębie głównej wersji 18, dotknięte są wersje przed PostgreSQL 18.6. Wersje przed PostgreSQL 18 nie są dotknięte.

Zawinięcie liczby całkowitej w module fuzzystrmatch w PostgreSQL pozwala użytkownikowi na kierowanie zapisów do ogromnego zakresu adresów, wykonując dowolny kod jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez ekstremalne dane wejściowe do funkcji SQL levenshtein() lub levenshtein_less_equal(). Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w funkcji EXTRACT() deparse, występuje wstrzyknięcie SQL, które pozwala właścicielowi obiektu na wykonanie dowolnego SQL jako superuser poprzez wrogą definicję obiektu. Ataki dotykają szeroko konsumentów deparse wyrażeń, w tym pg_dump, polecenia psql takie jak \sf, oraz podobne użycie w narzędziach nie-rdzeniowych. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL wsparcie GSSAPI nie egzekwuje integralności wiadomości, co pozwala użytkownikowi na negocjację GSSAPI wbrew regułom pg_hba.conf, poprzez początkową bezpośrednią komunikację TLS. Mimo że pg_hba.conf wydaje się wymagać GSSAPI, połączenie może wymieniać dane wyłącznie z szyfrowaniem TLS. Jeśli ustawienia TLS są bardziej permisywne niż GSS, połączenie może działać z mniejszą ochroną. Dotyczy to wersji głównych 17-18, przed 18.6 i 17.11.

Pomylenie typów z argumentami typu danych "internal" w PostgreSQL pozwala każdemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez wywołania funkcji z tym typem argumentu. Typ "internal" reprezentuje klasę wzajemnie niekompatybilnych struktur danych nieprzeznaczonych do dostępu z SQL. System miał zapobiegać takim wywołaniom, ale luki w zabezpieczeniach pozostały. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w dopasowywaniu nazw argumentów, występuje przepełnienie bufora stosu, które pozwala twórcy obiektu na osiągnięcie nieznanych skutków poprzez liczbę parametrów OUT. Atak może zapisywać tylko bajty 0x0 i 0x1. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL funkcja picksplit indeksu pg_trgm odczytuje dane poza końcem bufora sterty. Może to pozwolić osobie zarządzającej tabelą na wywnioskowanie ograniczonych wartości pamięci, poprzez sygnał stratny w wyborach podziału indeksu. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

W 32-bitowych wersjach PostgreSQL, w modułach pltcl i plperl, występuje błąd zawinięcia liczby całkowitej, który pozwala twórcy obiektu na spowodowanie zbyt małej alokacji pamięci i zapisu poza jej zakresem poprzez spreparowane ciała funkcji. Może to umożliwić wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podobne problemy zostały naprawione w CVE-2026-6473. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w pg_stat_statements w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane zapytania zawierające stałe tablicowe. Podatne są wersje w obrębie głównej wersji 18 przed 18.6. Wersje przed PostgreSQL 18 nie są podatne.

W PostgreSQL amcheck występuje podatność typu niebezpieczna ścieżka wyszukiwania, która pozwala użytkownikowi z uprawnieniem EXECUTE na funkcji amcheck na wykonanie dowolnych funkcji jako właściciele indeksów wyrażeń zależnych od ścieżki wyszukiwania, poprzez ustawienie wrogiej ścieżki przed wywołaniem funkcji amcheck. Dotyczy to wersji 18, 16, 15 i 14 przed określonymi wersjami poprawkowymi; PostgreSQL 17 nie jest dotknięty.

W PostgreSQL w mechanizmie uwierzytelniania SCRAM występuje obserwowalna różnica w odpowiedziach, która pozwala nieuwierzytelnionemu użytkownikowi sprawdzić istnienie konta poprzez obserwację liczby iteracji SCRAM. Dotyczy to wersji głównych 16-18, przed wydaniami 18.6, 17.11 i 16.15.

W module PostgreSQL "refint" występuje błąd pomylenia typów, który pozwala twórcy obiektu na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Poprawka pojawiła się jako nie-bezpieczeństwowy raport o błędzie i została dodana do repozytorium git z tematem "refint: Remove plan cache.", bez numeru CVE. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w plperl przy zwracaniu powiązanego hasza (tied hash) pozwala właścicielowi funkcji na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez spreparowane ciało funkcji. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w funkcji to_char(timestamptz) w PostgreSQL pozwala osobie wybierającej strefę czasową na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez długi skrót strefy czasowej POSIX. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL, w estymatorze selektywności typu danych ctid, występuje błąd pomylenia typów, który pozwala twórcy obiektu na podgląd obliczenia pochodzącego z wartości dowolnego 4-bajtowego fragmentu pamięci, poprzez wybrany nie-ctid input. Chociaż obliczenie traci precyzję, odzyskanie znacznej wartości pamięci wydaje się możliwe. Dotknięte są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL niepełne śledzenie zmian członkostwa w rolach, atrybutów ról i własności baz danych pozwala zapytaniu na dalsze używanie buforowanych polityk bezpieczeństwa na poziomie wierszy (RLS) po zmianach, które wymagają innej polityki, poprzez ponowne użycie planu. Nieaktualne polityki pozostają aż do unieważnienia pamięci podręcznej lub zakończenia sesji. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

Przepełnienie bufora sterty w wyrażeniach regularnych (regexp) w PostgreSQL pozwala autorowi zapytania na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych, poprzez tekst, który nie przeszedłby walidacji kodowania. Podatność ma wspólne pochodzenie z CVE-2026-2006, ale w tym przypadku wystąpił nieprzewidziany wzrost danych podczas konwersji przez pg_wchar. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

W PostgreSQL rozszerzenie pgcrypto przechowuje tekst jawny w przypadku wyłączonych szyfrów, co pozwala użytkownikowi odzyskać tekst jawny poprzez bezpośrednią obserwację wadliwego szyfrogramu. Konfiguracja OpenSSL determinuje wyłączone szyfry. Jeśli aplikacja przyjmuje zaszyfrowane dane jako wejście, deszyfrowanie może się powieść nawet z błędnym kluczem, tracąc ochronę MDC. Dotyczy to wersji przed 18.6, 17.11, 16.15, 15.19 i 14.24.

Zawinięcie liczby całkowitej w funkcjach typów danych tsvector i tsquery w PostgreSQL pozwala nieuprzywilejowanemu użytkownikowi bazy danych na spowodowanie zbyt małej alokacji i zapisu poza zakresem, poprzez spreparowane duże dane wejściowe. Może to prowadzić do wykonania dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Typy te zazwyczaj pochodzą z logiki aplikacji, a nie od użytkownika aplikacji, więc ataki przez aplikację są mało prawdopodobne. Podobny problem naprawiono w CVE-2026-6473. Podatne są wersje przed PostgreSQL 18.6, 17.11, 16.15, 15.19 i 14.24.

Wbudowana usługa PostgreSQL na urządzeniu mobilnym ma błędy konfiguracji i podatności na wstrzykiwanie poleceń. Usługa nasłuchuje na określonym porcie, działa z uprawnieniami roota i jest chroniona słabymi poświadczeniami. Baza danych obsługuje składnię COPY FROM PROGRAM, co pozwala lokalnym atakującym ominąć piaskownicę uprawnień Androida i uzyskać pełny dostęp root.

Ukryty kanał czasowy (covert timing channel) podczas porównywania haseł haszowanych MD5 w uwierzytelnianiu PostgreSQL pozwala atakującemu na odzyskanie danych uwierzytelniających wystarczających do zalogowania. Nie dotyczy to haseł scram-sha-256, które są domyślne we wszystkich wspieranych wersjach. Jednak istniejące bazy danych mogą zawierać hasła haszowane MD5 pochodzące z aktualizacji z PostgreSQL 13 lub wcześniejszych. Podatne są wersje przed PostgreSQL 18.4, 17.10, 16.14, 15.18 i 14.23.

W PostgreSQL libpq funkcje lo_export(), lo_read(), lo_lseek64() i lo_tell64() używają niebezpiecznej funkcji PQfn(..., result_is_int=0, ...), co pozwala superużytkownikowi serwera na nadpisanie bufora stosu klienta dowolnie dużymi danymi. Podobnie jak gets(), PQfn przechowuje dane o dowolnej długości w buforze o nieokreślonym rozmiarze. Dotyczy to wersji przed PostgreSQL 18.4, 17.10, 16.14, 15.18 i 14.23.

W serwerze PostgreSQL wykryto podatność związaną z zawijaniem liczb całkowitych w wielu funkcjach, która umożliwia nieuprzywilejowanemu użytkownikowi bazy danych spowodowanie niedowymiarowania alokacji i zapisu poza zakresem. Może to prowadzić do wykonania dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podatność dotyczy wersji przed 18.4, 17.10, 16.14, 15.18 i 14.23.