LONDON (IT BOLTWISE) – PostgreSQL hat ein Sicherheitsproblem mit der logischen Replikation geschlossen, das einem Konto mit REPLICATION-Attribut die Ausführung beliebigen Codes als OS-User des Datenbankservers ermöglicht. Betroffen sind Versionen vor 18.6, 17.11, 16.15, 15.19 und 14.24; Voraussetzung ist wal_level = logical. Der Fix führt mit output_plugin_libraries eine Whitelist für erlaubte Logical-Decoding-Output-Plugins ein, die nach dem Update aktiv wird. Für viele Setups heißt das: Plugins sauber registrieren oder bis zur Konfigurationserneuerung auf logische Decoding-Funktionen verzichten.
PostgreSQL adressiert mit dem Update für mehrere Wartungszweige eine Schwachstelle, die speziell im Zusammenspiel von logischem Decoding und Rollen-Replikation gefährlich wird. Im Kern geht es um die Möglichkeit, dass ein Konto mit dem REPLICATION-Attribut beim Erzeugen von Replikationsslots über den Mechanismus der Logical-Decoding-Output-Plugins Code in einer Weise nachlädt, die über die zuvor erwarteten Sicherheitsgrenzen hinausgeht. Das Ergebnis: Der geladene Code läuft im Backend-Prozess der Datenbank und damit als Betriebssystembenutzer, der den Datenbankdienst hostet. Die Meldung ist dabei nicht nur ein „normaler“ Authenzugriffsfehler, sondern ein klassischer Pfad von der Modellannahme „Replikationsrechte sind eher betrieblich“ hin zu „Replikationsparameter kann direkten Code-Ladepfad steuern“.
Technisch wird der Fehler als CVE-2026-6471 eingeordnet, mit einem CVSS-Score von 7,2. Er existiert seit dem Zeitpunkt, an dem PostgreSQL 2014 mit PostgreSQL 9.4 den logischen Decoding-Mechanismus eingeführt hat. Ausgenutzt werden kann die Schwachstelle durch Konten, die das REPLICATION-Attribut tragen, solange der Server mit wal_level = logical konfiguriert ist. Genau diese Kombination findet sich in der Praxis häufig: Backup-Tools, Standby-/Monitoring-Setups, Change-Data-Capture- (CDC-) Pipelines und ähnliche Integrationen benötigen regelmäßig Replikationsrechte, um WAL-Ereignisse weiterzuverarbeiten. Wichtig ist außerdem, dass das Problem nicht aus „mangelnder Authentifizierung“ entsteht, sondern aus der Art, wie PostgreSQL beim logischen Decoding die Output-Plugins auswählt und wie dabei die bisherigen Lade-Restriktionen umgehenbar werden.
Der Fix setzt daher an einer Stelle an, die Administratoren ab dem Update aktiv steuern müssen: PostgreSQL führt den Parameter output_plugin_libraries ein. Dieser soll festlegen, welche Bibliotheken als Logical-Decoding-Output-Plugins überhaupt geladen werden dürfen, und wird standardmäßig auf „pgoutput, test_decoding“ gesetzt. Installationen, die andere Output-Plugins nutzen – etwa wal2json oder decoderbufs – bekommen nach dem Update zunächst eine harte Ablehnung: PostgreSQL verweigert dann das logische Decoding, bis die entsprechende Bibliothek in output_plugin_libraries ergänzt und die Konfiguration neu geladen wurde. Dass dies als Whitelist statt als „nachträgliche Verschärfung“ umgesetzt wird, hat einen einfachen operativen Hintergrund: Drittanbieter-Plugins sollten nicht durch eine zentrale Änderung „still und unerwartet“ brechen, wenn deren Bibliotheken nicht in einem vordefinierten Administrationsverzeichnis liegen. In den Release-Notes beschreibt das PostgreSQL-Team die Notwendigkeit dieser Whitelist mit Blick auf funktionierende Bestandsinstallationen.
Die Details, warum die Schwachstelle überhaupt entstehen konnte, liegen im Ablauf rund um CREATE_REPLICATION_SLOT und der Übergabe des Plugin-Namens. Dem Bericht zufolge wird der im Slot-Befehl angegebene Plugin-Name direkt an die Funktion weitergereicht, die die Bibliothek lädt. Dabei greift eine bestehende Einschränkung, die Nicht-Superuser normalerweise beim Laden von Libraries auf ein von einem Administrator kontrolliertes Verzeichnis begrenzt, für den Replikationspfad offenbar nicht. Zusätzlich spielt die Parsing-Logik eine Rolle: Der Parser akzeptiert in einem doppel-quoted Plugin-Namen nahezu beliebige Zeichen, einschließlich Pfadtrennzeichen und.. /Traversal, wodurch ein nicht intendierter Pfad bis zur Loader-Ebene durchgereicht werden kann. Auf Windows kann daraus ein Szenario entstehen, in dem der Server eine Netzwerkpfad-Auflösung über SMB vornimmt und die Bibliothek von einer Angriffsmaschine bezieht; auf Linux und macOS braucht es dafür typischerweise NFS-Automounting. Überall dort, wo ein Angreifer nicht auf SMB/NFS als Transport setzt, muss stattdessen ein Weg vorhanden sein, um eine Library auf das Dateisystem des Servers zu bringen.
Der praktische Impact wird damit nachvollziehbar: Geladener Code läuft im Datenbankbackend als OS-User, und damit sind typische Privilegienkerneffekt-Ketten möglich. In der Untersuchung wird ein „Test-Plugin“ beschrieben, das nicht nur den Rollen-Katalog manipuliert, sondern auch Persistence-Mechanismen etabliert, die einen Serverneustart überstehen. Cyera beschreibt die REPLICATION-Berechtigung dabei als eher „niedrig“ eingestuftes Backup-Zugangsmittel; zugleich widerspricht die PostgreSQL-Risikobewertung dieser Einordnung, indem sie „Privileges Required“ als High bewertet – eine Einstufung, die in einer Reihe von Sicherheitszusammenfassungen reproduziert wurde. Auffällig ist auch, dass der fixierende Ansatz explizit vorsieht, dass der Replikationspfad nach dem Update nicht mehr automatisch auf das bisherige LOAD-Sicherheitsmodell zurückfällt, weil das zu disruptiv gewesen wäre. In einem Commit wird diese Abwägung ebenfalls deutlich: Eine nachträgliche Anwendung der Standard-LOAD-Restriktionen hätte retroaktiv verlangt, dass alle Drittanbieter-Output-Plugins unter $libdir/plugins installiert sein müssen.
Für den Betrieb ist die Reihenfolge der Maßnahmen entscheidend, weil das Update das Verhalten beim logischen Decoding erst nach der Whitelist-Registrierung wieder freigibt. PostgreSQL empfiehlt, vor dem Update per Abfrage zu bestimmen, welche Plugins aktuell in Replikations-Slots tatsächlich verwendet wurden, etwa über SELECT DISTINCT plugin FROM pg_replication_slots WHERE plugin IS NOT NULL; Anschließend soll auf die fixierten Versionen – je nach Major und Minor 18.6, 17.11, 16.15, 15.19 oder 14.24 – aktualisiert werden. Danach ergänzt man jedes nicht standardmäßige Plugin in output_plugin_libraries und lädt die Konfiguration neu, wofür ein pg_ctl reload oder SELECT pg_reload_conf() genügt; ein kompletter Neustart ist demnach nicht erforderlich. Besonders wichtig ist das bei Migrationsszenarien: Vor einem pg_upgrade muss die Ziel-Instanz bereits so konfiguriert sein, dass sie die Slot-Plugins der Quellinstanz erlaubt, andernfalls kann die Umstellung scheitern. Debian weist zudem darauf hin, dass zusätzliche Konfigurationsanpassungen nötig sein können, wenn bestimmte Extensions beteiligt sind.
Neben dem reinen Update wirft der Fall auch ein Licht auf typische Tooling-Fallen rund um GUCs. Der Fix deckt nicht alle Automationspfade gleich sauber ab: Dem Bericht zufolge erstellt pg_createsubscriber Replikationsslots mit dem Plugin pgoutput, ohne den neuen Parameter auf die tatsächlich gewünschte Plugin-Auswahl zu prüfen. Das kann sich als Inkonsistenz zeigen: Im „Dry-Run“-Modus gelingt die Umwandlung möglicherweise, während die Konvertierung im echten Lauf wegen der Whitelist scheitert. Hayato Kuroda von Fujitsu formulierte das als überraschendes Nutzerverhalten, indem er in der Mail an die pgsql-hackers Mailingliste betonte, dass der Dry-Run „ohne Checking des GUC“ durchgeht und die echte Konvertierung dann fehlschlägt. Zusätzlich bleibt festzuhalten, dass die CVE-Nummer zum Zeitpunkt der Recherche offenbar noch nicht in den bekannten KEV-Katalogen enthalten war und kein öffentliches Proof-of-Concept-Code unmittelbar nachweisbar war – dennoch gilt: Prävention ist hier eindeutig effizienter als nachträgliche Forensik.
Bis das Update in allen relevanten Umgebungen greift, empfiehlt Cyera eine Reduktion der Angriffsfläche über mehrere Ebenen. Dazu zählt, REPLICATION-Attribute nur dort zu vergeben, wo sie wirklich gebraucht werden, und Replikationszugriffe in pg_hba.conf auf bekannte Adressen zu beschränken. Ergänzend nennt der Bericht technische Netzwerk-Sperren, etwa ausgehenden SMB-Verkehr auf Port 445 sowie NFS-Verkehr auf Port 2049 vom Datenbankserver aus zu blockieren; wo nicht benötigt, solle außerdem autofs deaktiviert werden, um NFS-Automounting als Transportweg zu eliminieren. Für Teams, die CDC-Pipelines und logisches Decoding betreiben, heißt das praktisch: Die Sicherheitsplanung muss wie bei anderen „Plugin-/Erweiterungs“-Klassen der Plattform auch die Betriebsdaten berücksichtigen – welche Plugins laufen, wer Slots erzeugen darf und wie die Infrastruktur Netzwerkpfade zum Einspielen von Libraries zulässt. Genau an dieser Stelle entscheidet sich, ob die Whitelist-Logik des Fixes nur auf dem Papier existiert oder tatsächlich das Risiko in produktiven Workloads reduziert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PostgreSQL fixiert CVE-2026-6471: REPLICATION-Benutzer können Code als DB-User ausführen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PostgreSQL fixiert CVE-2026-6471: REPLICATION-Benutzer können Code als DB-User ausführen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PostgreSQL fixiert CVE-2026-6471: REPLICATION-Benutzer können Code als DB-User ausführen« bei Google Deutschland suchen, bei Bing oder Google News!