PT-2026-35952
CVE-2026-42198
·
تاريخ النشر
2026-04-29
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pgjdbc من 42.2.0 إلى 42.7.10
الوصف
يحدث رفض الخدمة من جانب العميل أثناء المصادقة باستخدام SCRAM-SHA-256 (آلية المصادقة بالتحدي المملح وخوارزمية التجزئة الآمنة 256). يمكن لخادم ضار أن يوجه برنامج التشغيل لإجراء المصادقة باستخدام عدد تكرارات كبير للغاية، مما يجبر العميل على إنفاق وقت غير محدود من وحدة المعالجة المركزية (CPU) في إجراء حسابات PBKDF2 (وظيفة اشتقاق المفتاح المستندة إلى كلمة المرور 2). قد يؤدي ذلك إلى استنفاد موارد وحدة المعالجة المركزية (CPU) لدى العميل وتعطيل مجموعات الاتصالات. في الإصدارات المتأثرة، لا تعمل المتغير
loginTimeout على التخفيف الكامل من هذه المشكلة لأن مؤشر ترابط العامل (worker thread) يواصل الحساب حتى بعد توقف المستدعي عن الانتظار. ويشكل هذا خطرًا كبيرًا بشكل خاص عندما تقبل التطبيقات تفاصيل الاتصال من مصادر غير موثوقة أو تتصل عبر بروكسيات غير موثوقة.التوصيات
قم بتحديث pgjdbc إلى الإصدار 42.7.11 أو أحدث.
اتصل فقط بخوادم PostgreSQL الموثوقة وتحقق من هوية الخادم باستخدام TLS مع
sslmode=verify-full وسلطة تصديق (CA) موثوقة.تجنب استخدام مصادقة SCRAM على مسارات اتصال غير موثوقة أو قابلة للاعتراض.
قلل من محاولات الاتصال المتوازية وقم بتطبيق حدود على وحدة المعالجة المركزية (CPU) أو الحاويات لتقليل التأثير التشغيلي.
قم بتقييد استخدام المتغير
loginTimeout كإجراء تخفيف أساسي في الإصدارات التي لم يتم تصحيحها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾