CVE-2026-92872: Pgpool-II записывает sensitive-данные в лог-файлы
В Pgpool-II обнаружена уязвимость средней степени опасности (CVSS 4.3), при которой чувствительная информация попадает в лог-файлы. Аутентифицированный злоумышленник с доступом к логам может получить сведения о кластере. Проблема затрагивает инсталляции Pgpool-II всех поддерживаемых версий.
Подробности
Уязвимость затрагивает продукт Pgpool Global Development Group Pgpool-II. По имеющимся данным, при определённых условиях работы Pgpool-II записывает в лог-файлы сведения, которые не должны попадать в журналы в открытом виде. Это могут быть данные, раскрывающие конфигурацию и состав кластера. Согласно оценке CVSS, уязвимости присвоен базовый балл 4.3, что соответствует средней степени опасности (MEDIUM). Для эксплуатации требуется, чтобы атакующий уже имел учётную запись и был аутентифицирован, а также располагал доступом к лог-файлам Pgpool-II. Именно поэтому вектор атаки ограничен: внешний неавторизованный пользователь не сможет воспользоваться проблемой напрямую. Основной риск связан с внутренними нарушителями, недостаточно строгим разграничением доступа к журналам, а также с ситуациями, когда логи собираются в общую систему мониторинга или передаются третьим сторонам. Полученная из журналов информация о кластере может использоваться для подготовки дальнейших атак: understanding топологии, числа узлов, параметров подключения и других деталей инфраструктуры. Сама по себе утечка не приводит к компрометации, но снижает сложность разведки для злоумышленника, уже находящегося внутри периметра. На момент публикации записи CVE в ней не указаны конкретные уязвимые и исправленные версии Pgpool-II, а также отсутствует ссылка на выпущенный патч.Что делать
Поскольку официальные данные об исправленных версиях в записи CVE не приведены, рекомендуется следующий комплекс мер: - Проверить актуальные релизы Pgpool-II на предмет исправления CVE-2026-92872 и обновиться до версии, в которой проблема устранена, как только такая информация появится у производителя. - Ограничить доступ к лог-файлам Pgpool-II: предоставлять его только тем учётным записям, которым он действительно необходим для работы. - Пересмотреть политику логирования: снизить уровень детализации там, где в журналы могут попадать сведения о кластере, и исключить запись чувствительных параметров. - Обеспечить защиту систем централизованного сбора логов (SIEM, log-серверы) и контроль доступа к ним. - Включить мониторинг подозрительной активности вокруг чтения журналов и отслеживать аномальные обращения к ним.Итог
CVE-2026-92872 — уязвимость средней критичности, которая не даёт прямого удалённого выполнения кода, но создаёт риск утечки информации о кластере PostgreSQL через журналы Pgpool-II. Ключевые условия эксплуатации — наличие аутентификации и доступ к лог-файлам. Основные защитные меры: своевременное обновление Pgpool-II до исправленной версии, строгое разграничение доступа к логам и минимизация объёма чувствительных данных, попадающих в журналы.Источник: CVE Project (cvelistV5)