Уязвимость NULL pointer dereference в Pgpool-II (CVE-2026-92871)

В кластерном менеджере соединений Pgpool-II, широко применяемом для балансировки нагрузки и организации отказоустойчивости перед PostgreSQL, выявлена уязвимость, связанная с разыменованием нулевого указателя. Она получила идентификатор CVE-2026-92871 и оценена в 7.5 балла по шкале CVSS, что соответствует высокому уровню опасности.

Подробности

Уязвимость затрагивает продукт Pgpool Global Development Group Pgpool-II. Согласно описанию, в коде присутствует ошибка разыменования нулевого указателя (NULL pointer dereference). Атака не требует аутентификации: неаутентифицированный злоумышленник может отправить специально сформированные данные или выполнить последовательность действий, приводящих к аварийному завершению процесса watchdog. Поскольку watchdog отвечает за мониторинг состояния узлов и автоматическое переключение при сбоях, его остановка нарушает работу механизмов отказоустойчивости и может привести к отказу в обслуживании всего кластера.

Оценка CVSS составляет 7.5 (HIGH). Конкретные версии Pgpool-II, в которых присутствует уязвимость, в записи CVE не уточняются, поэтому для определения подверженности следует руководствоваться рекомендациями производителя и официальными бюллетенями безопасности.

Тип уязвимости — отказ в обслуживании (DoS) через разыменование нулевого указателя. Эксплуатация не требует привилегий и не предполагает сложных условий, что повышает риск для систем, доступных из недоверенных сетей.

Что делать

• Проверить используемую версию Pgpool-II и определить, попадает ли она в перечень уязвимых согласно официальным рекомендациям проекта.
• Обновить Pgpool-II до версии, содержащей исправление, как только производитель выпустит соответствующий релиз или патч.
• Если обновление невозможно, ограничить сетевой доступ к интерфейсам Pgpool-II и процессу watchdog средствами межсетевого экрана и сегментации сети, разрешив подключения только доверенным узлам.
• Настроить мониторинг и автоматический перезапуск процесса watchdog для снижения последствий аварийного завершения.
• Отслеживать официальные бюллетени Pgpool Global Development Group и обновления записи CVE для получения точных сведений о затронутых версиях и доступных исправлениях.

Уязвимость CVE-2026-92871 представляет серьёзную угрозу для отказоустойчивых конфигураций на базе Pgpool-II: неаутентифицированный злоумышленник способен вывести из строя watchdog и нарушить работу кластера. До выпуска исправления рекомендуется минимизировать поверхность атаки за счёт сетевых ограничений и мониторинга, а после его появления — как можно быстрее обновить компонент.

Источник: CVE Project (cvelistV5)