Angreifer können über mehrere Softwareschwachstellen im Datenbankmanagementsystem PostgreSQL Schadcode auf Systeme schieben und ausführen. Dagegen sind abgesicherte Ausgaben erschienen.
28 Lücken geschlossen
Die Entwickler geben in einem Beitrag an, die Versionen 14.24, 15.19, 16.15, 17.11, 18.6 repariert zu haben. Sie weisen Admins darauf hin, dass der Support für PostgreSQL 14 am 12. November 2026 ausläuft. Ab diesem Zeitpunkt bekommt die Version keine Sicherheitsupdates mehr und Sicherheitslücken bleiben offen. Wer diese Ausgabe installiert hat, muss bis dahin ein Upgrade auf eine noch unterstützte Version vornehmen.
In den meisten Fällen können Angreifer nach erfolgreichen Attacken eigenen Code ausführen und so die volle Kontrolle über Instanzen erlangen. Etwa im Kontext der Datentypen tsvector und tsquery kann es zu einem Speicherfehler kommen (CVE-2026-14662 „hoch“), sodass das System außerhalb des reservierten Bereichs schreibt ("Out-of-bounds write").
Zusätzlich kann ein Angreifer im Zuge des Restore-Prozesses Schadcode ausführen (CVE-2026-18408 „hoch“). Zurzeit gibt es noch keine Berichte, dass Angreifer die Sicherheitslücken ausnutzen.
(des)
English (US) ·