„`html
Zusammenfassung
CVE-2026-15742 beschreibt eine kritische Integer-Wraparound-Schwachstelle in der PostgreSQL-Erweiterung fuzzystrmatch. Die Vulnerability ermöglicht es authentifizierten Benutzern, beliebigen Code mit den Privilegien des Datenbankprozesses auszuführen. Der Angriffsvektor ist netzwerkbasiert mit einem CVSS-Score von 8.8 (High).
Betroffene Systeme
Die folgenden PostgreSQL-Versionen sind vulnerabel:
- PostgreSQL 14.x vor 14.24
- PostgreSQL 15.x vor 15.19
- PostgreSQL 16.x vor 16.15
- PostgreSQL 17.x vor 17.11
- PostgreSQL 18.x vor 18.5
Betroffen sind Installationen mit aktivierter fuzzystrmatch-Erweiterung, die Benutzern Zugriff auf die SQL-Funktionen levenshtein() oder levenshtein_less_equal() gewähren.
Technische Details
Die Schwachstelle liegt im Integer-Wraparound-Handling der fuzzystrmatch-Erweiterung. Durch die Verwendung extremer Eingabewerte in den Funktionen levenshtein() oder levenshtein_less_equal() können Ganzzahl-Überläufe ausgelöst werden. Dies führt zu unkontrollierten Speicherschreibvorgängen über einen großen Adressraum.
Ein Angreifer kann diese Speicherschreibvorgänge zur Code-Injection nutzen und beliebige Befehle mit den Privilegien des Datenbankbenutzers (üblicherweise postgres) ausführen.
Empfohlene Massnahmen
- Sofortige Updates: PostgreSQL auf die gepatchten Versionen (18.5, 17.11, 16.15, 15.19, 14.24) aktualisieren
- Zugriffskontrolle: Bis zur Aktualisierung den Zugriff auf levenshtein()-Funktionen beschränken
- Deaktivierung: fuzzystrmatch-Erweiterung deaktivieren, falls nicht erforderlich (DROP EXTENSION IF EXISTS fuzzystrmatch;)
- Monitoring: Verdächtige SQL-Abfragen mit extremen Eingabewerten überwachen
Bewertung
Bei einem CVSS-Score von 8.8 handelt es sich um eine schwerwiegende Vulnerability mit hoher Priorität. Die Kombination aus Netzwerkvektor und Code-Execution-Potenzial erfordert unmittelbare Maßnahmen. Da derzeit kein Patch verfügbar ist, sollten Administratoren sofort Mitigationsmaßnahmen implementieren.
„`