PostgreSQL закрывает 52 уязвимости и прощается с версией 14
PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released
PostgreSQL Global Development Group выпустила обновления 18.7, 17.12, 16.16, 15.20 и 14.25, а также второй релиз-кандидат PostgreSQL 19. Патч устраняет 52 уязвимости безопасности и более 140 ошибок. Среди критичных — выполнение произвольного кода через type confusion, уязвимости в pg_dump, pg_restore и plperl. Версия 14 объявлена end-of-life. После обновления может потребоваться переиндексация GIN и GiST-индексов, а также создание новой полной резервной копии.
Это последний релиз PostgreSQL 14. PostgreSQL 14 теперь достигла конца жизненного цикла и больше не будет получать исправления безопасности и ошибок.
- ianberdin
Глядя на все эти патчи безопасности, я вспомнил, как в детстве тщательно убирал квартиру, стирал каждую пылинку из каждой щёлочки, а через пару дней всё снова возвращалось. И я подумал: неужели я буду заниматься этим всю жизнь?
- firer
Все они, похоже, требуют аутентификации, кроме CVE-2026-116322 (который не даёт выполнения кода, «всего лишь» DoS).
Около года назад я нашёл и проэксплуатировал CVE-2026-2004, который тоже является post-auth RCE в Postgres, в рамках соревнования zeroday.cloud от Wiz.
Я выбрал эту цель, потому что она сразу бросилась в глаза как крайне сложная, с кучей пользовательского ввода. По моему мнению, изначально определять это как границу безопасности — плохая идея. Доступ к базе данных вполне вероятно может привести к выполнению кода — слишком уж велика поверхность атаки.
Большинство серьёзных облачных провайдеров справедливо изолируют свои предложения БД именно по этой причине. И в этом году на соревновании zeroday.cloud аутентифицированный Postgres больше не является целью — именно по этой причине.
- lfittl
К слову, мне показалось проще посмотреть на release notes (https://www.postgresql.org/docs/release/18.7/), чтобы понять общий масштаб CVE — из анонса ссылки на отдельные страницы CVE есть, но их трудно просматривать.