PostgreSQL vá lỗi thực thi mã qua logical decoding
"PostgreSQL patched CVE-2026-6471, a 12-year-old logical decoding flaw that could let a user with the REPLICATION attribute execute arbitrary code as the database server OS user when wal_level=logical is enabled. The fix in PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 introduces the output_plugin_libraries allowlist to restrict which logical decoding plugins can be loaded, with administrators needing to add any non-default plugins and reload configuration."
Ảnh hưởng đến tính toàn vẹn hệ thống và có thể dẫn tới thực thi mã từ xa ở mức quyền dịch vụ nếu kẻ tấn công có tài khoản REPLICATION và cấu hình phù hợp.
Có thể gây rủi ro xâm nhập cơ sở dữ liệu, ảnh hưởng sao lưu/CDC/standby, và phát sinh thay đổi cấu hình sau nâng cấp để tránh gián đoạn dịch vụ.
PostgreSQL đã phát hành bản cập nhật để khắc phục CVE-2026-6471, một lỗi tồn tại khoảng 12 năm trong cơ chế logical decoding. Lỗ hổng có thể cho phép tài khoản có thuộc tính REPLICATION thực thi mã tùy ý với quyền của người dùng hệ điều hành chạy database server, khi wal_level=logical được bật.
Các phiên bản đã được sửa gồm PostgreSQL 18.6, 17.11, 16.15, 15.19 và 14.24. Bản vá bổ sung tham số output_plugin_libraries để giới hạn các plugin logical decoding được phép nạp, mặc định là pgoutput và test_decoding. Sau khi nâng cấp, các hệ thống dùng plugin không mặc định như wal2json hoặc decoderbufs cần được thêm vào danh sách này rồi reload cấu hình.
Quản trị viên nên kiểm tra các slot hiện có bằng pg_replication_slots, xác định plugin đang dùng, cập nhật lên bản đã vá và chạy pg_reload_conf() hoặc pg_ctl reload nếu cần. Với môi trường nâng cấp bằng pg_upgrade --check, cần cấu hình trước output_plugin_libraries để tránh lỗi kiểm tra. Một số gói phân phối từ Amazon RDS, Debian, SUSE và Ubuntu cũng đã có bản sửa tương ứng.