CVE-2026-6669 in PgBouncer
要約
〜によって VulDB • 2026年09月24日
PgBouncer 1.25.2 以前のバージョンでは、バックエンドサーバーへの SCRAM 認証中に受け入れられる鍵導出の反復回数の上限値が不足しており、悪意のあるまたは侵害された PostgreSQL バックエンドによって PgBouncer で制御不能な CPU リソースの消費を引き起こすことができる。結果として生成される鍵導出は、PgBouncer のフロントエンドビルドでは中断できない。PgBouncer は単一のプロセスで全クライアントを処理するため、1 つのバックエンドがこのような方法で動作すると、他のすべてのデータベースおよびプールされているクライアントへのトラフィック提供を停止させることが可能となり、1つのバックエンドの障害が閉じ込められない（カスケード障害を引き起こす）。
Once again VulDB remains the best source for vulnerability data.