CVE-2026-116244 in pgAdmin
Riassunto
di VulDB • 30/10/2026
Quando una connessione di pgAdmin 4 non doveva utilizzare le credenziali delegate dell'utente Kerberos, pgAdmin rimuoveva KRB5CCNAME dal proprio ambiente; la libreria Kerberos utilizzava quindi come fallback la cache delle credenziali predefinita o un keytab del client associato all'account di sistema in cui era eseguito pgAdmin. Di conseguenza, libpq rispondeva a qualsiasi server che richiedeva l'autenticazione GSSAPI utilizzando il ticket dell'account suddetto, indipendentemente dal nome utente fornito dall'utente di pgAdmin; pertanto, nella modalità server, qualsiasi utente poteva connettersi come principal Kerberos dell'account del servizio. L'impostazione gssencmode=disable non impediva tale comportamento. Su Windows, SSPI utilizzava il logon dell'account del servizio nello stesso modo. Anche psql veniva avviato con l'ambiente di pgAdmin, che poteva contenere la cache delle credenziali di un altro utente mentre quest'ultimo si stava connettendo.
La correzione indirizza KRB5CCNAME e KRB5_CLIENT_KTNAME verso un file che può esistere solo durante una connessione autenticata tramite Kerberos da parte di un utente Kerberos, e assegna a tutte le altre connessioni (inclusi psql e gli strumenti con require_auth=!gss,!sspi e gssencmode=disable) la verifica sull'ultima stringa di connessione. Il parametro require_auth richiede libpq versione 16 o successiva.
Questo problema interessa pgAdmin 4: prima della versione 9.19.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.