Biblioteca Pública de Legazpi

Blog de la Biblioteca de Legazpi

Múltiples vulnerabilidades en PostgreSQL, dblink y postgres_fdw podrían permitir ejecución arbitraria de código

Fecha de publicación: 

Resumen ejecutivo

PostgreSQL ha corregido vulnerabilidades en los productos PostgreSQL, dblink y postgres_fdw. El aviso agrupa múltiples fallos de memoria y confusión de tipos que permiten ejecución de código arbitrario con los privilegios del usuario del sistema que ejecuta la base de datos, con riesgo de escalada de impacto y denegación de servicio persistente. La explotación exige ser creador de objetos o disponer de capacidades para definir/usar funciones, operadores, suscripciones o replicación lógica, normalmente con acceso autenticado; en algunos casos puede afectar mediante rutas como parámetros y flujos de inserción remota. Actualizar cuanto antes a las versiones corregidas y revisar configuraciones y funciones/recursos expuestos.

Recursos afectados

  • PostgreSQL (anteriores a 18.7; anteriores a 17.12; anteriores a 16.16; anteriores a 15.20)

Análisis técnico

  • CVE-2026-116326: En PostgreSQL afectado con plperl, excepciones no controladas pueden permitir que un creador de objetos provoque el uso de un manejador interno obsoleto mediante un objeto Perl ligado o con sobrecargas que fallan durante el manejo de otro error. Potencial impacto: denegación de servicio y posible RCE en determinadas plataformas.
    • CWE-672
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116328: Hay un integer wraparound en la gestión de memoria de generación de PostgreSQL que permite a un usuario de base de datos ejecutar código arbitrario a nivel del sistema operativo (RCE) con los privilegios del usuario que ejecuta el motor. El fallo puede provocar compromiso total del servidor.
    • CWE-190
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116329: La vulnerabilidad de type confusion en la importación de estadísticas de PostgreSQL afecta a determinadas versiones de la rama 18 (anteriores a 18.7), permitiendo que un maintainer de tablas ejecute código arbitrario (RCE) con los privilegios del usuario del sistema operativo que ejecuta la base de datos, con impacto potencial completo sobre el servidor.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116330: La restauración en formato tar de pg_dump mediante un restore.sql expone inclusión de datos no confiables en PostgreSQL, permitiendo que un servidor origen comprometido ejecute código arbitrario (RCE) en el sistema del cliente con las credenciales del usuario del sistema que ejecuta psql. El impacto potencial incluye toma de control del sistema del cliente.
    • CWE-829
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116331: El producto afectado es PostgreSQL con ciertos agregados definidos por el usuario. Hay un fallo de type confusion que puede permitir RCE: un creador de objetos puede ejecutar código arbitrario a nivel de sistema operativo con los privilegios del usuario de la base de datos, causando compromiso total del servidor.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116332: Use-after-free en la configuración de portales de PostgreSQL permite que un creador de objetos ejecute código arbitrario en el sistema como el usuario del sistema operativo que ejecuta la base de datos. El impacto potencial es RCE y posible compromiso total del servidor durante la fase de planificación o al iniciar el ejecutor.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116335: Confusión de tipos en los operadores del conmutador y el negador de PostgreSQL permite que un creador de objetos ejecute código arbitrario (RCE) con los privilegios del usuario del sistema operativo que ejecuta la base de datos. El impacto potencial es la toma de control total del servidor de base de datos y de los datos.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-116336: En PostgreSQL, REINDEX CONCURRENTLY sobre un índice eliminado puede permitir que un creador de objetos ejecute código arbitrario en el sistema operativo con los privilegios del usuario de la base de datos, mediante una expresión de índice maliciosa que realiza DROP INDEX. Impacto: RCE.
    • CWE-672
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120139: El fallo afecta a PostgreSQL al producir un integer wraparound en cálculos internos en memoria al procesar tuplas de tamaño desmesurado. Puede permitir a un usuario de la base de datos ejecutar RCE arbitrario con los privilegios del sistema del usuario que ejecuta el servicio de la base de datos.
    • CWE-190
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120141: Hay una vulnerabilidad de type confusion en funciones de PostgreSQL que devuelven conjuntos materializados, permitiendo que un usuario de la base ejecute código arbitrario (RCE) con los privilegios del sistema operativo del usuario que ejecuta la base de datos. Afecta a funciones como json_populate_recordset() y puede comprometer completamente el servidor.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120142: Type confusion en tipos anónimos RECORD de PostgreSQL permite a un creador de objetos ejecutar código arbitrario (RCE) con los privilegios del usuario del sistema que ejecuta la base de datos. Puede conducir a compromiso total del servidor, acceso no autorizado a datos y posible escalada de privilegios.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120143: El problema afecta a funciones de trigger de PostgreSQL que permiten Use after free; un creador de objetos puede ejecutar código arbitrario (RCE) con los privilegios del usuario del sistema que ejecuta la base de datos. El impacto potencial es la toma de control del servidor y la exposición o manipulación total de datos.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120144: La vulnerabilidad afecta a PostgreSQL 18 (versiones menores anteriores a 18.7) y permite RCE mediante type confusion por una invalidación incompleta del type-cache durante la creación/modificación de un tipo compuesto. El impacto potencial es la ejecución de código arbitrario con los privilegios del usuario del sistema operativo que ejecuta la base de datos.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120145: Falta de autorización en la logical replication de PostgreSQL permite que un publisher comprometido ejecute RCE arbitrario como el usuario del sistema operativo que ejecuta la suscripción asociada al superusuario, al usar un objeto de sistema como destino de replicación. Solo suscripciones propiedad de superusuario son vulnerables, con impacto potencial de toma total del sistema.
    • CWE-862
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120147: Use-after-free en la extensión PostgreSQL dblink permite a un creador de objetos ejecutar código arbitrario (RCE) con los privilegios del usuario del sistema que ejecuta la base de datos. El impacto potencial es la toma completa del servidor mediante manipulación de conversiones de tipos y colisiones de cierre/lectura de conexiones internas.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120149: Producto afectado: PostgreSQL con foreign batch inserts a través de postgres_fdw. Tipo de fallo: heap-based buffer overflow que puede permitir RCE (ejecución de código arbitrario) desde un foreign server. Impacto potencial: un actor con control sobre el foreign server puede lograr la ejecución remota de código en el sistema que ejecuta la base de datos.
    • CWE-122
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120150: PostgreSQL está afectado por una vulnerabilidad de Use-After-Free en las comprobaciones de dominios de registros ampliados, que puede permitir a un creador de objetos ejecutar código arbitrario (RCE) con los privilegios del usuario del sistema bajo el que corre la base de datos, comprometiendo la confidencialidad, integridad y disponibilidad.
    • CWE-416
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120151: La vulnerabilidad de type confusion en PostgreSQL PL/pgSQL afecta al manejo de asignaciones a campos de registros, permitiendo la ejecución de código arbitrario (RCE) por el usuario del sistema operativo que ejecuta la base de datos. El impacto potencial incluye compromiso total del servidor y acceso no autorizado a recursos del host.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-18447: El producto afectado es PostgreSQL con funciones del lenguaje SQL que presentan confusión de tipos. Esto puede permitir RCE: un atacante puede ejecutar código arbitrario como el usuario del sistema operativo del servidor de base de datos, con impacto potencial de compromiso total del host.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-6460: La confusión de tipos en PostgreSQL puede permitir que un creador de objetos ejecute código arbitrario en el sistema operativo con los privilegios del usuario que ejecuta la base de datos (RCE), al manipular el motor mediante operaciones DDL; el impacto potencial es compromiso total del servidor y acceso no autorizado a datos.
    • CWE-843
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-120148: Confusión de tipo en estadísticas extendidas de PostgreSQL permite que un creador de objetos ejecute código arbitrario en el sistema operativo con los privilegios del usuario que ejecuta la base de datos, mediante una expresión de estadísticas con un tipo de registro anónimo manipulado por identificadores locales de backend entre sesiones. Impacto: RCE.
    • CWE-843
    • CVSS: 8.1 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
    • Explotación: No detectada
  • CVE-2026-14661: Los productos basados en PostgreSQL con dblink y CREATE/ALTER SUBSCRIPTION permiten un fallo de control externo del nombre de archivo que facilita una denegación de servicio persistente al permitir que se adjunte contenido inválido a un archivo elegido por el usuario, afectando la disponibilidad del sistema.
    • CWE-73
    • CVSS: 8.1 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
    • Explotación: No detectada

Mitigación / Solución

Medidas a adoptar:
- Aplicar las actualizaciones de seguridad publicadas por PostgreSQL en cuanto estén disponibles
- Restringir el acceso a las interfaces de administración de los productos afectados
- Monitorizar los sistemas afectados para detectar actividad anómala

Referencias adicionales

Siguenos

En las redes sociales