CVE-2026-116244 in pgAdmin
Zusammenfassung
von VulDB • 30.10.2026
Wenn eine pgAdmin 4-Verbindung nicht die delegierten Anmeldeinformationen eines Kerberos-Benutzers verwenden sollte, entfernte pgAdmin KRB5CCNAME aus seiner Umgebung, sodass die Kerberos-Bibliothek auf den Standard-Anmeldespeicher (credential cache) oder ein Client-Keytab des Betriebssystemkontos zurückgriff, unter dem pgAdmin ausgeführt wurde. libpq antwortete daraufhin jedem Server, der eine GSSAPI-Authentifizierung anforderte, mit dem Ticket dieses Kontos, unabhängig vom Benutzernamen, den der pgAdmin-Benutzer angab; daher konnte in einem Servermodus jeder Benutzer als die Kerberos-Hauptidentität (principal) des Dienstkontos verbinden; gssencmode=disable verhinderte dies nicht. Unter Windows verwendete SSPI auf dieselbe Weise das Logon des Dienstkontos. psql wurde ebenfalls mit der Umgebung von pgAdmin gestartet, die den Anmeldespeicher eines anderen Benutzers enthalten konnte, während sich dieser Benutzer verband.
Die Korrektur zeigt KRB5CCNAME und KRB5_CLIENT_KTNAME auf eine Datei, die nur existiert, wenn ein Kerberos-authentifizierter Benutzer sich mit Kerberos verbindet, und gibt allen anderen Verbindungen, psql sowie den Utilities require_auth=!gss,!sspi und gssencmode=disable (geprüft an der endgültigen Verbindungszeichenfolge) diese Einstellungen. require_auth erfordert libpq 16 oder höher.
Dieses Problem betrifft pgAdmin 4: vor Version 9.19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.