CVE-2026-11945 : injection SQL dans les fonctions d'importation de règles de PostgreSQL anonymizer

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE BASE DE DONNÉES

Cible : PostgreSQL Anonymizer (src/rules.c - import_database_rules)

Confiance : 95%

78 / 100

MEDIUM

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-11945 à 6.4 (MEDIUM, CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 78 (MEDIUM) en raison de la criticité des données stockées dans le SGBD PostgreSQL.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-11945: PostgreSQL Anonymizer Rules Import Function SQL InjectionVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTPostgreSQL Anonymizer (anon)

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in PostgreSQL Anonymizer (anon) documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité base de données : CWE-89 : improper neutralization of special elements used in an SQL command ('SQL injection')

CVSS v3.1 : 6.4 MEDIUM : (CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H) / CWE-89: Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’). Corrigée dans la version officielle amont 3.1.1.

Résumé exécutif

La CVE-2026-11945 affecte PostgreSQL Anonymizer (DALIBO) avant la version 3.1.1. Dans les fonctions d’importation de politiques anon.import_database_rules() et anon.import_roles_rules(), les règles décrites au format JSON sont extraites et insérées dans des requêtes SQL dynamiques sans assainissement. Si un administrateur charge un fichier de politique d’anonymisation provenant d’une source tierce, le code SQL malveillant injecté dans les clés JSON s’exécute avec les privilèges de superutilisateur.

---

1. Contexte technique & matrice des versions affectées

Le composant PostgreSQL Anonymizer (src/rules.c - import_database_rules) intervient au cœur du moteur relationnel, des outils d’administration et des protocoles de réplication de PostgreSQL.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-11945	Bulletin officiel de sécurité amont
Produit affecté	dalibo:postgresql_anonymizer	Écosystème de bases de données relationnelles
Composant vulnérable	PostgreSQL Anonymizer (src/rules.c - import_database_rules)	Moteur PostgreSQL / Outil / Extension
Classe de faiblesse	CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')	Faiblesse de contrôle d’accès / Sûreté mémoire
Score CVSS v3.1	6.4 (MEDIUM / Score Hermes 78)	CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
Version corrigée	3.1.1	Correctif officiel amont
Techniques MITRE ATT&CK	T1505.001 - SQL Stored Procedures, T1078 - Valid Accounts	Élévation de privilèges / Exécution de commandes
Référence forensique	Journaux d’authentification et requêtes SQL suspectes	Analyse mémoire et télémétrie des requêtes

---

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence la faille logique ou l’absence de validation des paramètres :

-- Flaw in src/rules.c (import_database_rules)
CREATE OR REPLACE FUNCTION anon.import_database_rules(rules_json JSONB)
RETURNS VOID AS $$
DECLARE
    r RECORD;
BEGIN
    FOR r IN SELECT * FROM jsonb_to_recordset(rules_json) AS x(attname TEXT, mask TEXT)
    LOOP
        -- VULNERABILITY: Dynamic SQL execution without quote_ident / quote_literal
        EXECUTE 'SECURITY LABEL FOR anon ON COLUMN ' || r.attname || ' IS ' || r.mask;
    END LOOP;
END;
$$ LANGUAGE plpgsql;

Sous certaines conditions d’exploitation, le moteur de base de données exécute du SQL non neutralisé, subit un bouclage arithmétique ou dépasse les limites allouées en mémoire vive.

---

3. Scénarios d’attaque & modélisation des menaces

1. Vecteur initial & prérequis : un attaquant prépare un fichier JSON de règles de masquage contenant "mask": "'MASKED'; CREATE ROLE hacker SUPERUSER; --".
2. Déclenchement de la primitive : l’attaquant injecte une requête forgée ou soumet des données altérées vers PostgreSQL Anonymizer (src/rules.c - import_database_rules).
3. Rupture d’isolement : le mécanisme de contrôle d’accès ou l’intégrité de la mémoire est rompu.
4. Conséquences opérationnelles : lorsque l’administrateur importe le fichier avec SELECT anon.import_database_rules(...), l’instruction injectée est exécutée, créant un superutilisateur frauduleux..

---

4. Détection forensique, artefacts & logs système

Les équipes d’administration de bases de données et les analystes DFIR peuvent détecter les tentatives d’exploitation dans les journaux de requêtes et les traces système.

Journaux PostgreSQL & crashs

Surveillez /var/log/postgresql/ à la recherche des motifs : postgres: unexpected statement delimiter in SECURITY LABEL FOR anon statement. Recherchez les erreurs de syntaxe inattendues ou les arrêts anormaux de workers.

Auditd & traçage des commandes

Tracez les processus enfants créés sous l’utilisateur postgres ou l’exécution de programmes via COPY. Consultez Journaux d’authentification et requêtes SQL suspectes.

Règles de détection et Threat Hunting

Règle Sigma

sigma_cve_2026_11945.yaml

title: PostgreSQL Anonymizer Dynamic Security Label Injection Statement (FR)
id: cve-2026-11945
status: experimental
description: Détecte les anomalies d'exécution SQL et les signatures d'exploitation pour CVE-2026-11945.
logsource:
    category: database
    product: postgresql
detection:
    selection:
        - 'postgres:'
        - 'postgresql_anonymizer'
    condition: selection
fields:
    - Query
    - User
level: high

Tracepoint eBPF

# Surveillance par tracepoint eBPF des processus spawned par PostgreSQL
sudo bpftrace -e '
tracepoint:syscalls:sys_enter_execve /comm == "postgres"/ {
    printf("PID %d a lancé: %s\n", pid, str(args->filename));
}'

---

5. Remédiation, durcissement & mesures d’atténuation

La sécurisation des instances PostgreSQL repose sur le déploiement des correctifs et le durcissement des privilèges :

1. Mise à jour logicielle : mettez à niveau dalibo:postgresql_anonymizer vers la version 3.1.1 ou supérieure via vos dépôts de distribution officiels.
2. Durcissement des schémas : révoquez les droits de création sur le schéma public (REVOKE CREATE ON SCHEMA public FROM PUBLIC;) et fixez systématiquement search_path = 'pg_catalog'.
3. Surveillance forensique : pour approfondir l’investigation et l’analyse forensique, consultez notre guide sur Journaux d’authentification et requêtes SQL suspectes.