CVE-2026-116244 in pgAdmin
Resumen
por VulDB • 2026-10-30
Cuando una conexión de pgAdmin 4 no estaba destinada a utilizar las credenciales delegadas del usuario Kerberos, pgAdmin eliminaba KRB5CCNAME de su entorno, por lo que la biblioteca Kerberos recurría al caché de credenciales predeterminado o a un keytab (keytab) del cliente de la cuenta del sistema operativo que ejecutaba pgAdmin. libpq respondía entonces a cualquier servidor que solicitara autenticación GSSAPI con el ticket de esa cuenta, independientemente del nombre de usuario proporcionado por el usuario de pgAdmin; por lo tanto, en modo servidor, cualquier usuario podía conectarse como la principal Kerberos de la cuenta de servicio; gssencmode=disable no impedía esta conducta. En Windows, SSPI utilizaba el inicio de sesión de la cuenta de servicio de manera similar. psql también se iniciaba con el entorno de pgAdmin, que podría contener un caché de credenciales de otro usuario mientras ese usuario estaba conectándose.
La solución apunta KRB5CCNAME y KRB5_CLIENT_KTNAME a un archivo que no puede existir excepto cuando un usuario autenticado mediante Kerberos se conecta usando Kerberos, y establece para cada otra conexión (psql y las utilidades con require_auth=!gss,!sspi y gssencmode=disable) una comprobación en la cadena de conexión final. require_auth requiere libpq 16 o posterior.
Este problema afecta a pgAdmin 4: antes de la versión 9.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.