LONDON (IT BOLTWISE) – PostgreSQL schließt eine seit 2014 bekannte Schwachstelle (CVE-2026-6471), die mit dem REPLICATION-Attribut beliebigen Code im Backend-Prozess ausführen konnte. Die Absicherung erfolgt über einen neuen Parameter output_plugin_libraries, der nur bestimmte Logical-Decoding-Output-Plugins zulässt. Betroffene Versionen reichen bis PostgreSQL 14.24 zurück; die Updates sind bereits für mehrere Branches verfügbar. Bis zur Anpassung müssen Administratoren ihre Drittanbieter-Plugins in der Whitelist eintragen und die Konfiguration neu laden.
PostgreSQL hat mit Updates in mehreren Major- und Minor-Branches eine Sicherheitslücke geschlossen, die eine besonders kritische Angriffskombination ermöglichte: Ein Benutzer mit dem REPLICATION-Attribut konnte über Logical Decoding beliebigen Code ausführen – und zwar als Betriebssystembenutzer des Datenbankservers. Die Lücke trägt die Kennung CVE-2026-6471, liegt bei einem CVSS-Score von 7,2 und betrifft Deployments, in denen Logical Decoding aktiv genutzt wird und wal_level auf „logical“ steht. Laut dem beschriebenen Muster reichte dafür nicht „Superuser“-Zugriff, sondern die Fähigkeit, eine passende Replikationsrolle bzw. ein entsprechendes REPLICATION-Konto im Umfeld zu besitzen, das in vielen Setups ohnehin für Backup- oder Datenaufnahmeprozesse verwendet wird.
Technisch spannend ist dabei, dass PostgreSQL die sonst üblichen Schutzmechanismen für das Laden von Plugins an der falschen Stelle nicht konsequent anwendet. In der Architektur von Logical Decoding existiert das Konzept eines Output-Plugins, das über einen Namen in einer CREATE_REPLICATION_SLOT-Anweisung spezifiziert wird. Nach den Angaben der Sicherheitsrecherche floss dieser Plugin-Name direkt in den Mechanismus, der Bibliotheken lädt; dadurch umging der REPLICATION-Pfad die vorhandene Ladebeschränkung, die Non-Superusers normalerweise auf ein vom Administrator kontrolliertes Verzeichnis festnagelt. Besonders problematisch: Der Parser für den Replikationspfad akzeptiert in einem doppelt gequoteten Plugin-Namen sehr breite Zeichensätze, einschließlich Pfadtrennzeichen sowie „../“-Traversal-Varianten, sodass sich am Ende eine vollständige Dateisystem-Pfadinformation bis zum Loader durchreichen lässt.
Konsequenz: Der Angreifer konnte eine Bibliothek so nachladen, dass der Code im Backend-Prozess läuft und damit die Rechte des PostgreSQL-Userbetriebs auf dem Host erbt. Auf Windows sei dafür sogar das Netzwerken besonders direkt gewesen: Der Server löst einen Netzwerkpfad über Server Message Block (SMB) auf und holt die Bibliothek von einer Maschine, die der Angreifer kontrolliert, ohne dabei notwendigerweise Zieldateien auf dem Host zu schreiben. Unter Linux und macOS erfordere das Szenario analog die Aktivierung von NFS-Automounting; andernorts wird zusätzlich eine bereits vorhandene Möglichkeit benötigt, um Dateien auf das Host-Dateisystem zu bringen. Ein mitgelieferter Test-Plugin-Ansatz in der Recherche zeigte dann konkret, wie sich der REPLICATION-Account über das Rollenregister bis zum PostgreSQL-Superuser-Status „hochziehen“ lässt – samt Mechanismen, die auch nach einem Neustart weiterhin wirken.
Die eigentliche Gegenmaßnahme ist ebenso pragmatisch wie zielgerichtet: PostgreSQL ergänzt einen Serverparameter namens output_plugin_libraries, der als Whitelist festlegt, welche Bibliotheken als Logical-Decoding-Output-Plugins überhaupt geladen werden dürfen. Standardmäßig sind dabei „pgoutput“ und „test_decoding“ erlaubt. Wird nach dem Update ein anderes Output-Plugin eingesetzt – etwa Drittanbieter-Bibliotheken wie wal2json oder decoderbufs – verweigert PostgreSQL den Logical Decoding Betrieb zunächst. Die Idee dahinter: Bisher konnte ein Replikationsbenutzer praktisch jede „loadable library“ als Output-Plugin auswählen; die neue Whitelist soll dieses Auswahlfenster schließen, ohne bestehende Installationen automatisch zu „brechen“, sondern nur dort zu blockieren, wo ein nicht freigegebenes Plugin wirklich aktiv genutzt wird.
Damit die Umschaltung in der Praxis gelingt, empfiehlt PostgreSQL konkrete Schritte. Administratoren sollen vor dem Update per SELECT DISTINCT plugin FROM pg_replication_slots WHERE plugin IS NOT NULL; ermitteln, welche Plugins in vorhandenen Replikations-Slots tatsächlich verwendet wurden. Anschließend wird in output_plugin_libraries jede nicht standardmäßige Bibliothek ergänzt, und die Konfiguration wird per pg_ctl reload oder SELECT pg_reload_conf() neu geladen; ein Neustart ist demnach nicht erforderlich. Wichtig ist außerdem der Migrationspfad: Beim Anlegen eines neuen Clusters muss output_plugin_libraries bereits vor dem pg_upgrade –check gesetzt sein, weil der Upgrade-Check sonst fehlschlagen kann, wenn die Slot-Plugins der alten Instanz nicht in der Whitelist enthalten sind.
Die Update-Landschaft ist breit, aber nicht grenzenlos. Laut der Mitteilung sind die Fixes für unterstützte Branches von PostgreSQL 14 bis 18 verfügbar; Versionen unterhalb davon werden nicht mehr adressiert. PostgreSQL 14 soll bis zum 12. November 2026 keine weiteren Fehlerkorrekturen mehr erhalten. Zudem gibt es Hinweise von Paketbetreibern, dass die Konfiguration nach dem Update angepasst werden muss, falls bestimmte Erweiterungen genutzt werden, die selbst auf Logical-Decoding-Plugins setzen. Besonders relevant: Einige Distributionen dokumentieren die neue Whitelist nicht zwingend explizit; die Recherche weist aber darauf hin, dass das wal2json-Projekt seine Anleitung nachträglich aktualisiert hat, um genau diese Ergänzung in output_plugin_libraries vorzusehen.
Neben dem Fix existiert noch eine offene Lücke im „Operational Tooling“: pg_createsubscriber erstellt Replikations-Slots mit dem Plugin „pgoutput“, prüft dabei aber nicht die neue GUC output_plugin_libraries. In der Folge kann ein –dry-run den Betrieb korrekt simulieren, während die eigentliche Konvertierung später fehlschlägt, wenn „pgoutput“ nicht in der Whitelist erlaubt ist. Das wurde in einer Rückmeldung an die PostgreSQL-Community als überraschend für Anwender beschrieben und soll offenbar noch per Patch nachgezogen werden. Für Betreiber bedeutet das: Nicht nur die Datenbank selbst, auch die Automations- und Migrationsskripte sollten im Testlauf gegen die neue Plugin-Whitelist validiert werden, bevor produktive Umstellungen erfolgen.
Bis die Updates verteilt und die Whitelist-Parameter korrekt konfiguriert sind, lässt sich das Risiko nach Angaben aus der Recherche auch durch Reduktionsmaßnahmen senken. Dazu zählt, REPLICATION-Attribute konsequent nur dort zu vergeben, wo sie wirklich benötigt werden; außerdem können REplikationszugriffe in pg_hba.conf auf bekannte Adressen eingegrenzt werden. Auf Netzwerkebene wird empfohlen, ausgehenden SMB-Traffic (Port 445) und NFS-Traffic (Port 2049) von Datenbankservern zu blockieren, sodass das nachgeladene Plugin nicht über Netzwerkpfade von angreifergesteuerten Ressourcen „gezogen“ werden kann. Zusammengenommen macht das den Angriff zwar nicht unmöglich, reduziert aber die typischen Voraussetzungen deutlich – und verschiebt die Angriffsfläche spürbar in einen Bereich, in dem zusätzliche Kompromittierungen nötig wären.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PostgreSQL stoppt Codeausführung via Logical Decoding: neuer Whitelist-Parameter" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PostgreSQL stoppt Codeausführung via Logical Decoding: neuer Whitelist-Parameter" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PostgreSQL stoppt Codeausführung via Logical Decoding: neuer Whitelist-Parameter« bei Google Deutschland suchen, bei Bing oder Google News!