CVE-2026-14681
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W PostgreSQL wykryto nieprawidłowe egzekwowanie integralności wiadomości w obsłudze GSSAPI, co pozwala użytkownikowi na negocjowanie GSSAPI wbrew regułom pg_hba.conf, poprzez bezpośrednie połączenie TLS. Mimo że pg_hba.conf wydaje się wymagać GSSAPI, połączenie może wymieniać dane wyłącznie za pomocą szyfrowania TLS. Jeśli ustawienia TLS są bardziej liberalne niż ustawienia GSS, połączenie może być kontynuowane z mniejszą ochroną. Podatne są wersje główne 17-18, przed PostgreSQL 18.5 i 17.11; wersje przed PostgreSQL 17 nie są dotknięte.
Ocena ryzyka
Ryzyko obejmuje możliwość nawiązania połączeń z mniejszym poziomem uwierzytelnienia niż wymagany, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji z poprawką oraz dostosowanie konfiguracji TLS i GSSAPI tak, aby były spójne z wymaganiami bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Improper enforcement of message integrity in PostgreSQL GSSAPI support allows a user to negotiate GSSAPI contrary to pg_hba.conf rules, via initial direct TLS connection. Despite a pg_hba.conf that appears to require GSSAPI, the connection may exchange data over TLS encryption alone. If the TLS settings are more permissive than the GSS settings, the connection may continue with lesser protection. Within major versions 17-18, minor versions before PostgreSQL 18.5 and 17.11 are affected. Versions before PostgreSQL 17 are unaffected.