Базы данных с открытым исходным кодом столкнулись с проблемой, связанной с памятью, поскольку искусственный интеллект помогает выявить проблемы переполнения буфера, существующие десятилетиями в широко используемых компонентах. Исследователи безопасности раскрыли ряд уязвимостей высокой и критической степени серьезности, затрагивающих PostgreSQL и MariaDB, при этом, по сообщениям, корни двух ошибок уходят более чем на 20 лет.
На хакерском мероприятии zeroday.cloud от Wiz исследователи, использующие инструмент анализа безопасности на базе ИИ «Xint Code», обнаружили уязвимость нулевого дня высокой степени серьезности в расширении PostgreSQL «pgcrypto», а также переполнение буфера в куче в логике проверки схемы JSON в MariaDB. Обе уязвимости позволяют удаленно выполнять код (RCE) на соответствующих серверах баз данных.
Команда Xint Code также обнаружила ошибку отсутствия проверки в PostgreSQL, скрывавшуюся 20 лет, которая позволяет злоумышленникам внедрять произвольный код.
Для всех этих уязвимостей выпущены исправления, а сопровождающие PostgreSQL и MariaDB настоятельно рекомендуют пользователям немедленно обновиться до исправленных версий.
Не одна трещина в фундаменте PostgreSQL
Наиболее острой из уязвимостей нулевого дня в PostgreSQL является проблема переполнения буфера в куче, отслеживаемая как CVE-2026-2005, в расширении «pgcrypto». Используя специально сформированный ввод, злоумышленник может вызвать несоответствие размеров, что приводит к выходу за границы области записи в куче, как заявили исследователи в посте в блоге.
В средах, где pgcrypto обрабатывает ввод, контролируемый пользователем, это может быть использовано для достижения удаленного выполнения кода на сервере базы данных.
Уязвимость затронула все поддерживаемые версии и была устранена в обновлениях, включая v18.2, v17.8, v16.12, v15.16 и v14.21. Ей был присвоен высокий уровень серьезности CVSS 8.8 из 10. «Уязвимый код присутствовал с момента первого вклада pgcrypto в 2005 году, то есть более 20 лет назад», — добавили исследователи.
Это была не единственная уязвимость, о которой сообщили в PostgreSQL. Другая группа исследователей, выступавшая в качестве «Team Bugz Bunnies» на мероприятии Wiz, обнаружила ошибку отсутствия проверки, отслеживаемую как CVE-2026-2006, которая позволяет выполнять произвольный код. Уязвимости был присвоен почти 9-балльный уровень серьезности CVSS, и она была исправлена в тех же обновлениях, которые устранили CVE-2026-2005.
Сопровождающие PostgreSQL настоятельно призвали клиентов оперативно установить исправления, поскольку уязвимости стали публичными после того, как годами оставались незамеченными, и у злоумышленников есть доступ к коду эксплойта. Уязвимости были исправлены в феврале, но анализ Wiz показал, что 80% облачных сред используют PostgreSQL, причем 45% из них напрямую доступны из интернета.
Недостаточный парсинг JSON позволил выполнить RCE на сервере MariaDB
В MariaDB с помощью Xint Code было обнаружено переполнение буфера, отслеживаемое как CVE-2026-32710, в функции JSON_SCHEMA_VALID(). Уязвимость позволяет аутентифицированному пользователю вызвать сбой, который при контролируемых условиях может перерасти в удаленное выполнение кода.
По сравнению с уязвимостями PostgreSQL, эксплуатация здесь менее прямолинейна. Успешное выполнение кода потребует манипуляции с компоновкой памяти, что достижимо только в «лабораторных условиях». «Любой пользователь, который может открыть SQL-сессию — будь то через украденные учетные данные, SQL-инъекцию или боковое перемещение — может достичь этого пути кода одним вызовом функции», — заявила команда Xint Code в отдельном посте в блоге.
Затронуты версии MariaDB 11.4.1–11.4.9 и 11.8.1–11.8.5, исправления выпущены в 11.4.10 и 11.8.6 соответственно. Уязвимость была оценена GitHub как 8.5 высокой степени серьезности, в то время как NIST присвоил ей критический базовый балл CVSS 9.9 из 10.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
