CVE-2026-55765
Təsvir
CloudNativePG, Kubernetes mühitlərində PostgreSQL verilənlər bazalarını idarə etmək üçün hazırlanmış bir platformadır. 1.28.4 və 1.29.2 versiyalarından əvvəl CloudNativePG, pkg/management/postgres/utils/roles.go faylındakı SetUserPassword və internal/management/controller/roles/postgres.go faylındakı appendPasswordOption tərəfindən yaradılan `ALTER ROLE` və `CREATE ROLE` ifadələrinə rol şifrələrini açıq mətn formatında daxil edirdi. track_utility aktiv edilmiş halda pg_stat_statements öncədən yükləndikdə və etibarsız bir kirayəçi (tenant) pg_monitor və ya pg_read_all_stats hüquqlarına malik olduqda, həmin kirayəçi platforma tərəfindən idarə olunan superistifadəçi və ya tətbiq sahibi şifrələrini bərpa edə, aktivləşdirilmiş superistifadəçi TCP girişi vasitəsilə yenidən qoşula və `COPY ... FROM PROGRAM` ilə verilənlər bazası podunda əməliyyat sistemi əmrlərini icra edə bilərdi. İdarə olunan-rol Secret-larında SCRAM-SHA-256 yoxlayıcılarından istifadə edən klasterlər bu problemdən təsirlənməmişdir. Bu problem 1.28.4, 1.29.2 və 1.30.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cloudnative-pg cloudnative-pg | < 1.28.4, >= 1.29.0, < 1.29.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.