CVE-2026-14669 - PostgreSQL to_char() Timezone Abbreviation Heap Buffer Overflow

PostgreSQL के to_char() फ़ंक्शन में टाइमज़ोन फ़ॉर्मेटिंग संसाधित करते समय हीप बफर ओवरफ्लो भेद्यता मौजूद है। हमलावर अत्यधिक लंबा POSIX टाइमज़ोन संक्षिप्त नाम सेट करके 25-बाइट फिक्स्ड बफर में सीमा से बाहर लेखन ट्रिगर कर सकता है, और सूचना लीक तथा ROP चेन के सहयोग से रिमोट कोड एक्ज़िक्यूशन प्राप्त कर सकता है।

भेद्यता जानकारी

• CVE आईडी: CVE-2026-14669
• CVSS स्कोर: 8.8 (उच्च गंभीरता)
• भेद्यता प्रकार: हीप बफर ओवरफ्लो → रिमोट कोड एक्ज़िक्यूशन
• प्रभावित घटक: PostgreSQL to_char(timestamptz) फ़ंक्शन
• खोज टीम: V12 Security

प्रभावित संस्करण

पैच किए गए संस्करण

• PostgreSQL 18.6+
• PostgreSQL 17.11+
• PostgreSQL 16.15+
• PostgreSQL 15.19+
• PostgreSQL 14.24+

भेद्यता का तंत्र

formatting.c में DCH_TZ / DCH_tz हैंडलिंग पथ टाइमज़ोन संक्षिप्त नाम संग्रहीत करने के लिए 25-बाइट फिक्स्ड स्टैक बफर का उपयोग करता है, लेकिन इनपुट लंबाई की कोई जाँच नहीं होती है। जब टाइमज़ोन संक्षिप्त नाम 24 बाइट्स से अधिक होता है, तो strcpy() हीप मेमोरी में सीमा से बाहर लिखता है।

ट्रिगर पथ:

SET TIME ZONE '<超长缩写>+00';
SELECT to_char(now()::timestamptz, 'TZ');
  ↓
DCH_to_char() → DCH_from_char_action()
  ↓
strcpy(buf, tmtcTzn(...))  ← 堆溢出

शोषण की शर्तें

• कोई भी मान्य डेटाबेस प्रमाणीकरण क्रेडेंशियल (USAGE स्तर का न्यूनतम विशेषाधिकार)
• TCP-सुलभ डेटाबेस पोर्ट
• SQL स्टेटमेंट निष्पादित करने की क्षमता

पूर्ण शोषण श्रृंखला

V12 Security के PoC में तीन चरण शामिल हैं:

चरण 1: सूचना लीक

हीप ओवरफ्लो द्वारा आसन्न हीप ऑब्जेक्ट्स को नष्ट करके PIE बेस एड्रेस और हीप पॉइंटर्स लीक किए जाते हैं, जिससे ASLR टूट जाता है।

चरण 2: ROP चेन निर्माण

हीप पर ROP गैजेट चेन व्यवस्थित करने के लिए बड़े ऑब्जेक्ट या bytea फ़ील्ड का उपयोग किया जाता है।

चरण 3: कंट्रोल फ्लो हाइजैकिंग

दूसरा ओवरफ्लो हीप पर फ़ंक्शन पॉइंटर को अधिलेखित करता है और ROP चेन पर कूदकर मनमाना कमांड निष्पादित करता है (postgres उपयोगकर्ता विशेषाधिकारों के साथ)।

PoC फ़ाइलें

• poc.py - पूर्ण शोषण स्क्रिप्ट (210 पंक्तियाँ, PostgreSQL 19beta1 के लिए)
• requirements.txt - Python निर्भरताएँ (psycopg, pwntools)
• docker-compose.yml - भेद्यता परीक्षण वातावरण

उपयोग विधि

1. परीक्षण वातावरण प्रारंभ करें

docker-compose up -d

कंटेनर के प्रारंभ होने की प्रतीक्षा करें (हेल्थ चेक पास होने तक):

docker logs pg-tzlab

2. निर्भरताएँ स्थापित करें

pip install -r requirements.txt

3. PoC चलाएँ

python3 poc.py

डिफ़ॉल्ट रूप से 127.0.0.1:55432 से कनेक्ट होता है, उपयोगकर्ता नाम postgres, पासवर्ड postgres है।

सफल शोषण के बाद, कंटेनर लॉग में कमांड निष्पादन आउटपुट देखा जा सकता है:

docker logs pg-tzlab | grep PWNED

4. कस्टम कॉन्फ़िगरेशन

poc.py में स्थिरांक संपादित करें:

• HOST, PORT - लक्ष्य पता
• DEFAULT_COMMAND - निष्पादित किया जाने वाला कमांड

⚠️ महत्वपूर्ण: यह PoC विशेष बिल्ड के ऑफसेट पते हार्डकोड करता है (postgres:19beta1 Docker इमेज sha256:a6bdd01...)। अन्य संस्करणों के लिए गैजेट्स का पुनः पता लगाना आवश्यक है।

शमन उपाय

1. तुरंत अपग्रेड करें पैच किए गए संस्करण में (सबसे प्रभावी)
2. नेटवर्क आइसोलेशन: डेटाबेस पोर्ट को केवल विश्वसनीय होस्ट्स के लिए सीमित करें
3. खाता न्यूनीकरण: अनावश्यक खातों को हटाएँ, मजबूत पासवर्ड अनिवार्य करें
4. निगरानी अलर्ट: अत्यधिक लंबे SET TIME ZONE स्टेटमेंट (> 50 वर्ण) की निगरानी करें

अस्वीकरण

⚠️ यह PoC केवल सुरक्षा अनुसंधान, भेद्यता सत्यापन और रक्षात्मक परीक्षण के लिए है।

• कृपया नष्ट किए जा सकने वाले परीक्षण वातावरण (Docker lab) में चलाएँ
• अनधिकृत या उत्पादन वातावरण के विरुद्ध उपयोग न करें
• शोषण से लक्षित सर्वर प्रक्रिया क्रैश या कंट्रोल फ्लो हाइजैक हो सकता है

इस PoC का उपयोग करने का अर्थ है कि आप स्थानीय कानूनों, विनियमों और लक्षित प्रणाली की प्राधिकरण सीमाओं का पालन करने के लिए सहमत हैं।

संदर्भ लिंक

• PostgreSQL आधिकारिक सुरक्षा बुलेटिन
• PostgreSQL रिलीज़ घोषणा
• अपस्ट्रीम फिक्स commit
• V12 Security तकनीकी विश्लेषण
• मूल PoC रिपॉजिटरी

मूल लेखक

• मूल PoC: V12 Security टीम
• मूल रिपॉजिटरी: https://github.com/v12-security/pocs
• लाइसेंस: अपस्ट्रीम रिपॉजिटरी में कोई LICENSE फ़ाइल नहीं है, इस रिपॉजिटरी में MIT License लागू है
• यह रिपॉजिटरी: मिरर वितरण संस्करण, मूल लेखक का श्रेय बरकरार रखता है