CVE-2025-49146

إصدارات pgjdbc من 42.7.4 إلى 42.7.6

تظهر المشكلة عندما يتم تكوين برنامج تشغيل JDBC الخاص بـ PostgreSQL بحيث يكون ربط القناة (channel binding) محددًا بقيمة required، مما يسمح للاتصالات بالاستمرار باستخدام طرق مصادقة لا تدعم ربط القناة، مثل المصادقة بكلمة المرور أو MD5 أو GSS أو SSPI. وقد يتيح ذلك لمهاجم من نوع «man-in-the-middle» اعتراض الاتصالات التي يعتقد المستخدمون أنها محمية بمتطلبات ربط القناة.

بالنسبة لإصدارات pgjdbc من 42.7.4 إلى 42.7.6، قم بالتحديث إلى الإصدار 42.7.7 لحل المشكلة.

كإجراء مؤقت، ضع في اعتبارك تكوين sslMode=verify-full لمنع هجمات «الرجل في الوسط».