CVE-2026-54291

Nome do Software Vulnerável e Versões Afetadas pgjdbc versões 42.7.4 through 42.7.11

Description Conexões que utilizam channelBinding=require podem sofrer um downgrade silencioso de SCRAM-SHA-256-PLUS com channel binding para SCRAM-SHA-256 simples. Isso resulta na perda da proteção contra man-in-the-middle. Um invasor capaz de interceptar a conexão TLS pode desencadear esse downgrade usando um certificado com um algoritmo de assinatura que não possui um hash de channel-binding tls-server-end-point. Isso ocorre porque o com.ongres.scram:scram-client retorna um array de bytes vazio em vez de falhar, e a função ScramAuthenticator() apenas verifica se o servidor anunciou um mecanismo PLUS, sem rejeitar o binding vazio ou garantir que o mecanismo negociado utilize channel binding.

Recommendations Atualize o pgjdbc para a versão 42.7.12.