CVE-2026-42198

Yüksek

Açıklama

pgjdbc, açık kaynaklı bir postgresql JDBC Sürücüsüdür. 42.2.0 versiyonundan 42.7.11 versiyonu öncesine kadar olan sürümlerde pgjdbc, SCRAM-SHA-256 kimlik doğrulaması sırasında istemci tarafında hizmet reddi (DoS) saldırısına karşı savunmasızdır. Kötü niyetli bir sunucu, sürücüye çok yüksek bir yineleme sayısı ile SCRAM kimlik doğrulaması gerçekleştirmesi talimatını verebilir. Yeterince büyük bir değerle, istemci kimlik doğrulama başarısız olmadan önce PBKDF2 içerisinde sınırsız miktarda CPU zamanı harcar. Tek bir deneme, bir CPU çekirdeğini meşgul eder. Tekrarlanan veya eşzamanlı denemeler istemci CPU'sunu tüketebilir ve bağlantı havuzlarını kilitleyebilir. Etkilenen versiyonlarda loginTimeout bu sorunu tamamen gidermemiştir. loginTimeout süresi dolduğunda çağırıcı beklemeyi durdurabilir ancak bağlantı denemesini gerçekleştiren iş parçacığı (worker thread), SCRAM PBKDF2 hesaplaması içinde çalışmaya ve CPU tüketmeye devam edebilir. Bu sorun 42.7.11 versiyonunda düzeltilmiştir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

Ürün

Postgresql Jdbc Driver

Yayın29 Nis 2026

İlk görülme29 Nis 2026

Zayıflık türüCWE-770Sınırsız kaynak ayırma

Nasıl düzeltilir

Güncelleyin

postgresql postgresql_jdbc_driver42.7.11 ya da sonraki bir sürüm
org.postgresql:postgresql42.7.11 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
postgresql postgresql_jdbc_driver	42.2.0 ≤ v < 42.7.11	42.7.11
org.postgresql:postgresqlMaven	42.2.0 ≤ v < 42.7.11	42.7.11

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.