„`html

CVE-2026-14664: Heap Buffer Overflow in PostgreSQL Regular Expression Engine

Zusammenfassung

Ein kritischer Heap Buffer Overflow in der PostgreSQL Regular Expression Engine ermöglicht es Query-Autoren, beliebigen Code mit den Privilegien des Datenbankbenutzers auszuführen. Die Schwachstelle wird durch Zeichenketten ausgelöst, die die Standard-Zeichencodierung umgehen. Der CVSS-Score von 8.8 klassifiziert dies als High-Severity-Vulnerability mit erheblichem Schadenpotenzial.

Betroffene Systeme

Die folgende PostgreSQL-Versionen sind anfällig:

• PostgreSQL 14 vor Version 14.24
• PostgreSQL 15 vor Version 15.19
• PostgreSQL 16 vor Version 16.15
• PostgreSQL 17 vor Version 17.11
• PostgreSQL 18 vor Version 18.5

Technische Details

Die Vulnerabilität liegt in der Verarbeitung von regulären Ausdrücken und beschreibt einen Heap Buffer Overflow, der während der Datenkonvertierung durch pg_wchar auftritt. Im Gegensatz zu CVE-2026-2006 entsteht das Problem durch unanticipiertes Datenwachstum während der Round-Trip-Verarbeitung. Eingabevalidierungsmechanismen werden durch speziell crafted Text-Sequenzen umgangen, die nicht der erwarteten Zeichencodierung entsprechen.

Der Angriffsvektor ist netzwerkbasiert (Network), was bedeutet, dass die Schwachstelle ohne lokalen Zugriff exploitiert werden kann. Ein authentifizierter Benutzer kann über SQL-Queries gezielt gepufferte Zeichenketten injizieren.

Empfohlene Massnahmen

• Sofortige Aktualisierung auf die gepatchten Versionen durchführen
• Zugriff auf reguläre Ausdrücke in Queries beschränken
• Input-Validierung und Zeichencodierung überprüfen
• Systemprotokolle auf verdächtige PostgreSQL-Aktivitäten überwachen
• Datenbanksysteme isolieren, bis Patches verfügbar sind

Bewertung

Schweregrad: High (CVSS 8.8)
Angriffsvektor: Network
Authentifizierung erforderlich: Ja
Patch verfügbar: Nein (zur Zeit der Veröffentlichung)

Diese Schwachstelle erfordert sofortige Aufmerksamkeit in produktiven PostgreSQL-Umgebungen.

„`