BDU:2026-11894: Уязвимость функции to_char(timestamptz) системы управления базами данных PostgreSQL, позволяющая нарушителю выполнить произвольный код
Детали уязвимости BDU:2026-11894
Описание
Уязвимость функции to_char(timestamptz) системы управления базами данных PostgreSQL связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Что делать с BDU:2026-11894
Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:CCWE — тип уязвимости
CVE — международный идентификатор
Переполнение буфера в динамически выделенной памяти (куче). Приводит к выполнению произвольного кода.
Как атакуют и что делать ▾
Сценарий атаки
Переполнение буфера в куче (heap) — перезапись метаданных malloc-чанков, vtable указателей.
Последствия
Выполнение произвольного кода через перезапись heap-структур.
Рекомендации
Используйте safe allocators (jemalloc), ASAN, проверку границ.
Тактики и техники
Уязвимое ПО (5)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| PostgreSQL Global Development Group | PostgreSQL | до 18.5 | Не указана |
| PostgreSQL Global Development Group | PostgreSQL | до 17.11 | Не указана |
| PostgreSQL Global Development Group | PostgreSQL | до 16.15 | Не указана |
| PostgreSQL Global Development Group | PostgreSQL | до 15.19 | Не указана |
| PostgreSQL Global Development Group | PostgreSQL | до 14.24 | Не указана |
Рекомендации по устранению
Использование рекомендаций производителя: https://www.postgresql.org/support/security/CVE-2026-14669 Компенсирующие меры: - ограничение прав на выполнение SET TIME ZONE только для доверенных административных ролей; - валидация или ограничение длины любых пользовательских строк часового пояса перед передачей в to_char; - настройка приложения на использование только утверждённых идентификаторов часовых поясов.
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 8.8
Уточните SLA под вашу среду
Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2026-08-13
Опубликована
2026-08-19
Обновлена
2026-08-19
Эксплойт
Существует в открытом доступе
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость функций регулярных выражений системы управления базами данных PostgreSQL, позволяющая нарушителю выполнить пр
Уязвимость системы управления базами данных PostgreSQL, связанная с неверным сроком действия сеанса, позволяющая нарушит
Уязвимость функций работы с типами данных tsvector и tsquery системы управления базами данных PostgreSQL, позволяющая на
Уязвимость модуля pgcrypto системы управления базами данных PostgreSQL, позволяющая нарушителю получить несанкционирован
Уязвимость оценщика селективности типа данных ctid системы управления базами данных PostgreSQL, связанная с неверным сро
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.