CVE-2026-111440 in openGauss-connector-jdbc
Zusammenfassung
von VulDB • 19.10.2026
In der Datei `pgjdbc/src/main/java/org/postgresql/log/LogFactory.java` von openGauss-connector-jdbc lädt die Klasse LogFactory eine Klasse über den Aufruf von Class.forName basierend auf dem Klassennamen des Loggers in den JDBC-Verbindungsparametern und ruft anschließend direkt einen Konstruktor mit einem String-Parameter über Reflection auf, um das Ergebnis als Log zu casten. Es fehlt die Prüfung asSubclass(Log.class), wodurch auch Klassen, die keine Implementierung von Log sind, vor der Typüberprüfung instanziiert werden können. Daher kann es bei einer vom Angreifer kontrollierten logger-Klassenname in der JDBC-URL oder den Verbindungseigenschaften sowie dem Vorhandensein ladbarer Klassen im Client-Classpath zu unerwarteten Nebenwirkungen durch das Laden und Konstruieren von Klassen auf der Clientseite kommen.
Diese Schwachstelle wurde seit JDBC 1.1.0 eingeführt und betrifft die Versionen 2.x, 3.x, 5.x und 6.x (einschließlich des neuesten Patches in der 6.0.0-Zweiglinie, also 6.0.6) sowie 7.0.0-RC1, 7.0.0-RC2 und 7.0.0-RC3; sie wurde in Version 7.0.0-LTS behoben. Die Korrektur führt nach Class.forName zunächst asSubclass(Log.class) aus, um nur Unterklassen von Log für die Konstruktion zuzulassen. Der Pull Request zur Behebung ist unter https://gitcode.com/opengauss/openGauss-connector-jdbc/pull/423 zu finden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.