CVE-2026-2005 — تجاوز سعة المخزن المؤقت في الكومة في pgcrypto التابع لـ PostgreSQL

الالتزام المستهدف: 4b324845ba5d24682b9b3708a769f00d160afbd7 (PostgreSQL 18.1 — الإصدار المعرَّض للثغرة)

ملخص

بدء سريع

# Build and start PostgreSQL 18.1 (vulnerable)
docker compose up -d --build

# Wait for healthy
docker compose logs -f postgres
# Ctrl+C when you see "database system is ready to accept connections"

# Install node deps
npm install

# Run the full RCE exploit chain
node exploit.js --cmd "id"

# With verbose output
node exploit.js --cmd "id" --verbose

# Execute a custom command
node exploit.js --cmd "whoami"

سلسلة الاستغلال (7 مراحل)

Stage 1: Heap pointer leak
  └─ Corrupt mdst chunk header → parse pfree() error message

Stage 2: Arbitrary read (multi-offset scan)
  └─ Overwrite mdst->data → scan memory near leaked pointer

Stage 3: Pointer candidate collection
  └─ Scan heap dump for non-heap addresses

Stage 4: PIE base resolution
  └─ Read /proc/<pid>/maps via Docker exec (100% reliable)

Stage 5: (skipped — PIE base is known from maps)

Stage 6: Arbitrary write
  └─ Forge msrc + mdst MBufs → overwrite CurrentUserId → 10 (superuser)

Stage 7: Command execution
  └─ COPY FROM PROGRAM → arbitrary OS command as postgres user

بنية الملفات

CVE-2026-2005/
├── Dockerfile              # Builds PostgreSQL 18.1 from source
├── docker-compose.yml      # PostgreSQL service with auto-restart
├── init.sh                 # Entrypoint — initdb + listen config
├── README.md               # This file
└── poc/
    ├── package.json        # Node.js dependencies (pg)
    ├── exploit.js          # Full 7-stage RCE exploit (Node.js)
    ├── verify.sh           # Shell-based quick verification
    └── test-pgcrypto.sql   # SQL-only test of pgcrypto loading

البناء اليدوي (macOS / Linux)

git clone https://github.com/postgres/postgres.git
cd postgres
git checkout 4b324845ba5d24682b9b3708a769f00d160afbd7
./configure \
    --prefix="$HOME/projects/pg/pgsql" \
    --with-libxml \
    --with-libxslt \
    --enable-debug \
    --with-ssl=openssl
make -j$(nproc)
make install-world-bin

المتطلبات

• Docker + Docker Compose (مضيف aarch64، مثل أجهزة Mac بمعالج Apple Silicon)
• Node.js ≥ 18
• حوالي 2 جيجابايت من مساحة القرص لبناء PostgreSQL
• يستغرق البناء حوالي 3–5 دقائق في أول تشغيل
• tmux (اختياري — مطلوب فقط مع خيار --gdb)

تفاصيل الثغرة

الخلل موجود في الدالة pgp_parse_pubenc_sesskey() داخل الملف contrib/pgcrypto/pgp-pubdec.c. عند تحليل حزمة OpenPGP من نوع Public-Key Encrypted Session Key (tag 1):

1. يقرأ الكود طول MPI (عدد صحيح متعدد الدقة) من الحزمة
2. يخصّص مخزنًا مؤقتًا بناءً على ذلك الطول
3. يفك تشفير MPI باستخدام RSA داخل المخزن المؤقت
4. يقرأ طول مفتاح الجلسة من البيانات المفكوك تشفيرها دون التحقق من الحدود
5. تُنسخ بيانات مفتاح الجلسة عبر memcpy إلى مخزن مؤقت ثابت الحجم اعتمادًا على الطول غير المُتحقق منه

يمكن لدالة memcpy أن تكتب خارج حدود المخزن المؤقت في الكومة، مما يُفسد البيانات الوصفية أو البيانات المجاورة في الكومة، ويؤدي إلى تنفيذ تعليمات برمجية عشوائية.

تفاصيل سلسلة الاستغلال

1. تسريب مؤشر الكومة — أتلف ترويسة chunk الخاصة بـ malloc؛ وحلّل رسالة الخطأ من pfree() لاستخراج عنوان mdst->data في الكومة.
2. تحديد العنوان الأساسي لـ PIE — اقرأ /proc/<pid>/maps من حاوية Docker للعثور على عنوان تحميل ثنائي postgres في وقت التشغيل.
3. كتابة عشوائية — زوّر بنيتَي MBuf لكلٍّ من msrc (المصدر) وmdst (الوجهة) عبر تجاوز سعة الكومة. يشير msrc إلى حزمة symenc مضمّنة تحتوي على OID المستخدم الفائق (10)؛ بينما يشير mdst إلى CurrentUserId - 4 (مع مراعاة ترويسة SET_VARSIZE ذات الـ 4 بايت).
4. تصعيد الامتيازات — مع CurrentUserId = 10 (المستخدم الفائق التمهيدي bootstrap superuser)، نفّذ COPY FROM PROGRAM لتشغيل أوامر نظام تشغيل عشوائية.

خيارات سطر الأوامر

ملاحظات

• إضافة pgcrypto موثوقة (trusted) — يمكن لأي مستخدم يملك صلاحية CREATE (وليس مستخدمًا فائقًا) تثبيتها، مما يجعل هذه الثغرة قابلة للاستغلال بصلاحيات منخفضة.
• يتضمّن بناء Docker خيار --enable-debug لتسهيل التصحيح باستخدام gdb.
• إزاحات الكومة (SRC_CHUNK_OFFSET=100, DST_CHUNK_OFFSET=172) خاصة بالبنية aarch64 + glibc — وتتطلب البنى/المخصِّصات الأخرى إزاحات مختلفة.
• تستخدم الحاوية restart: always للتعافي التلقائي من انهيارات الخادم الخلفي (backend) أثناء اختبار عناوين PIE المرشّحة.
• يتم تحديد العنوان الأساسي لـ PIE عبر /proc/<pid>/maps داخل حاوية Docker — دون الحاجة إلى readelf على الجهاز المضيف.
• تتم قراءة جدول الرموز الخاص بإزاحة CurrentUserId عبر docker exec readelf.

المراجع

• النشرة الأمنية من PostgreSQL
• التحليل الفني من ZeroDay.Cloud
• إدخال NVD