PostgreSQL stopft 52 Sicherheitslücken – und schickt Version 14 in Rente
PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released
Die PostgreSQL Global Development Group hat Updates für alle unterstützten Versionen veröffentlicht: 18.7, 17.12, 16.16, 15.20 und 14.25 sowie den zweiten Release Candidate von PostgreSQL 19. Das Update schließt 52 Sicherheitslücken und behebt über 140 Fehler. Mehrere Korrekturen erfordern allerdings manuelle Nacharbeit: GIN-Indizes, GiST-Indizes mit pg_trgm und B-Tree-Indizes auf bpchar-Spalten sollten neu aufgebaut werden, und inkrementelle Backups brauchen eine neue Vollbasis. PostgreSQL 14 ist damit end-of-life.
Dies ist die letzte Veröffentlichung von PostgreSQL 14. PostgreSQL 14 ist jetzt end-of-life und erhält keine Sicherheits- und Fehlerkorrekturen mehr.
- ianberdin
Wenn ich mir all diese Sicherheitspatches ansehe, muss ich an meine Kindheit denken, als ich meine Wohnung gründlich geputzt und jeden Staubkorn in jeder noch so kleinen Ecke weggewischt habe – und ein paar Tage später war alles wieder da. Und ich dachte: Werde ich das wirklich mein ganzes Leben lang machen?
- firer
All diese scheinen post-auth zu sein, außer CVE-2026-116322 (das keine Codeausführung ermöglicht, „nur“ einen DoS).
Vor etwa einem Jahr habe ich CVE-2026-2004 gefunden und ausgenutzt, eine Postgres-post-auth-RCE, im Rahmen von Wizs zeroday.cloud-Wettbewerb.
Ich habe dieses Ziel gewählt, weil es sofort als hochkomplex mit vielen Benutzereingaben auffiel. Meiner Meinung nach ist es von vornherein eine schlechte Idee, dies als Sicherheitsgrenze zu definieren. Zugriff auf eine Datenbank kann sehr wahrscheinlich zu Codeausführung führen – es gibt viel zu viel Angriffsfläche.
Die meisten seriösen Cloud-Anbieter sandboxen ihre DB-Angebote genau aus diesem Grund zu Recht. Und der diesjährige zeroday.cloud-Wettbewerb hat aus genau diesem Grund kein authentifiziertes Postgres mehr als Ziel.
- lfittl
Nur so nebenbei: Ich fand es einfacher, die Release Notes (https://www.postgresql.org/docs/release/18.7/) anzusehen, um den Gesamtumfang der CVEs zu verstehen – von der Ankündigung aus sind die einzelnen CVE-Seiten verlinkt, aber es ist schwer zu überfliegen.