Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-119923 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-06 |
| Producent | Amazon Web Services |
| Produkt | Babelfish for PostgreSQL / Aurora PostgreSQL |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, biuletyn AWS 2026-166-AWS
Przepełnienie bufora na stercie (CWE-122) w parserze pakietów TDS prelogin w rozszerzeniu Babelfish for PostgreSQL w wersjach 1.0-1.5, 2.1-2.15, 3.1-3.12, 4.0-4.8, 5.1-5.4 oraz w Amazon Aurora PostgreSQL z włączonym Babelfish może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika procesu bazy danych. Do ataku wystarczy wysłanie specjalnie spreparowanego, zniekształconego pakietu TDS prelogin na port TDS. Atak następuje na etapie nawiązywania połączenia, przed uwierzytelnieniem. Rekord CVE obejmuje też powiązany błąd dereferencji wskaźnika NULL w tym samym parserze.
Babelfish to rozwijane przez AWS rozszerzenie open source, które pozwala PostgreSQL obsługiwać protokół SQL Server (TDS), dzięki czemu aplikacje pisane pod SQL Server łączą się bez zmiany sterowników. W tym samym biuletynie AWS opisuje drugą lukę, CVE-2026-119924 — błąd pamięci w obsłudze żądań RPC protokołu TDS, który uwierzytelnionemu atakującemu pozwala odczytać sąsiednią pamięć procesu lub spowodować odmowę usługi. Obie usuwają te same wersje naprawcze.
Wymagane działania
Babelfish for PostgreSQL (instalacje własne): zaktualizuj rozszerzenie do wersji 4.10, 5.6 lub 6.1 albo nowszej.
Amazon Aurora PostgreSQL z Babelfish: biuletyn AWS nie opisuje automatycznej aktualizacji — klient musi sam zaktualizować klaster do jednej z poniższych wersji Aurora PostgreSQL (w nawiasie wersja Babelfish) lub nowszej i zastosować oczekujące prace serwisowe (pending maintenance), aby mieć najnowszą poprawkę:
- 13.x: 13.9.16 (1.5.5), 13.23.3 (1.17.2)
- 14.x: 14.6.16 (2.3.5), 14.17.8 (2.12.4), 14.18.6 (2.13.3), 14.19.5 (2.14.2), 14.20.5 (2.15.2), 14.22.3 (2.16.1), 14.23.1 (2.17.0)
- 15.x: 15.10.8 (3.8.4), 15.12.8 (3.9.4), 15.13.6 (3.10.3), 15.14.5 (3.11.2), 15.15.5 (3.12.2), 15.17.3 (3.13.1), 15.18.1 (3.14.0)
- 16.x: 16.8.8 (4.5.5), 16.9.6 (4.6.3), 16.10.5 (4.7.2), 16.11.5 (4.8.2), 16.13.3 (4.9.1), 16.14.1 (4.10.0)
- 17.x: 17.4.8 (5.1.4), 17.5.6 (5.2.3), 17.6.5 (5.3.2), 17.7.5 (5.4.2), 17.9.3 (5.5.1), 17.10.1 (5.6.0)
- 18.x: 18.3.4 (6.0.2), 18.4.1 (6.1.0)
Obejście do czasu aktualizacji: ogranicz dostęp sieciowy do portu TDS (domyślnie 1433) wyłącznie do zaufanych źródeł — w AWS przez grupy zabezpieczeń VPC, w instalacjach własnych przez zaporę. Port TDS nie powinien być dostępny z internetu.
Kogo dotyczy?
Podatność dotyczy organizacji, które uruchamiają Babelfish for PostgreSQL firmy Amazon Web Services — najczęściej po migracji aplikacji z Microsoft SQL Server do Amazon Aurora PostgreSQL z włączonym Babelfish albo na własnych serwerach PostgreSQL z tym rozszerzeniem. Klastry Aurora PostgreSQL bez włączonego Babelfish (bez nasłuchu na porcie TDS) nie są wymienione w biuletynie jako podatne. Sprawdź w konsoli AWS RDS, czy w grupie parametrów klastra ustawiono rds.babelfish_status na on.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
