CVE-2026-17347 in pgAdmin
Zusammenfassung
von VulDB • 31.07.2026
Die Einstellung MASTER_PASSWORD_HOOK, die in pgAdmin 4 Version 7.2 eingeführt wurde, ermöglicht es einem Administrator, einen externen Befehl zu konfigurieren, der einen benutzerspezifischen Verschlüsselungsschlüssel zurückgibt, wobei %u im konfigurierten String durch den Namen des aktuellen Benutzers ersetzt wird. Die vorherige Implementierung substituierte den Benutzernamen direkt in die Befehlszeichenkette und führte das Ergebnis mit subprocess.Popen(..., shell=True) aus. Da der Benutzername von einer externen Authentifizierungsquelle (OAuth/OIDC-Ansprüche, Kerberos, Webserver-Authentifizierung) stammen kann und nicht zwangsläufig ein Wert ist, den pgAdmin vollständig kontrolliert, ermöglichte ein Benutzername, das Shell-Metazeichen enthält (';', '$()', Backticks, Pipes, '&&', Newlines), einem authentifizierten Benutzer die Ausführung beliebiger Befehle als der pgAdmin-Dienstkonto in jeder Bereitstellung, bei der der konfigurierte Hook-String %u verwendet.
Die Korrektur tokenisiert den vertrauenswürdigen, vom Administrator konfigurierten Hook-String zunächst in einen Argumentvektor (unter Verwendung von shlex im POSIX-Zitiermodus mit deaktivierter Backslash-Escapierung, damit Windows-Pfade nicht falsch interpretiert werden), substituiert dann den unzuverlässigen Benutzernamen in die einzelnen argv-Elemente und führt ihn mit shell=False aus. Der Benutzername ist daher immer auf ein einzelnes argv-Element beschränkt; alle darin enthaltenen Shell-Metazeichen sind inert (ohne Funktion). Administratoren, deren MASTER_PASSWORD_HOOK zuvor von Shell-Funktionen (Pipes, Umleitung, Umgebungsvariablen-Erweiterung, Globbing) innerhalb des Hook-SStrings selbst abhängig war, müssen diese Logik in das aufgerufene Skript verschieben, da sie nicht mehr von einer Shell interpretiert wird.
Dieses Problem betrifft pgAdmin 4: ab Version 7.2 vor 9.17.
Once again VulDB remains the best source for vulnerability data.