Débordement de tampon dans le module pgcrypto de PostgreSQL
Une vulnérabilité affectant PostgreSQL permettrait à un attaquant authentifié de provoquer une corruption de la mémoire et potentiellement d'exécuter du code arbitraire sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
PostgreSQL est un système de gestion de bases de données relationnelles open source largement déployé ; son module pgcrypto fournit des fonctions de chiffrement au sein de la base de données. Ce produit est affecté par une vulnérabilité libellée CVE-2026-2005, résultant d'un débordement de tampon dans le tas au sein de la fonction pgp_parse_pubenc_sesskey du module pgcrypto, lors du traitement d'un texte chiffré contrôlé par un acteur malveillant. Son exploitation permettrait à un attaquant authentifié capable d'exécuter des requêtes SQL de provoquer une corruption de la mémoire et d'exécuter du code arbitraire avec les privilèges du compte système exécutant la base de données. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à la disponibilité des données ;
- Corruption de la mémoire.
Systèmes affectés
Produits, composants et versions concernés
- PostgreSQL versions antérieures à 18.2, 17.8, 16.12, 15.16 et 14.21.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour PostgreSQL vers l'une des versions corrigées 18.2, 17.8, 16.12, 15.16 ou 14.21, ou ultérieure ;
- Restreindre l'accès à la base de données et l'exécution de requêtes SQL aux seuls comptes de confiance ;
- Appliquer le principe du moindre privilège aux comptes de base de données.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.