PostgreSQL Anonymizer (anon extension - search_path) Le score CVSS v3.1 évalue CVE-2026-2360 à 8.0 (HIGH, CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 88 (HIGH) en raison de la criticité des données stockées dans le SGBD PostgreSQL.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in PostgreSQL Anonymizer (anon) documented in Hermes dossier.”
Le composant PostgreSQL Anonymizer (anon extension - search_path) intervient au cœur du moteur relationnel, des outils d’administration et des protocoles de réplication de PostgreSQL.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-2360 | Bulletin officiel de sécurité amont |
| Produit affecté | dalibo:postgresql_anonymizer | Écosystème de bases de données relationnelles |
| Composant vulnérable | PostgreSQL Anonymizer (anon extension - search_path) | Moteur PostgreSQL / Outil / Extension |
| Classe de faiblesse | CWE-426: Untrusted Search Path | Faiblesse de contrôle d’accès / Sûreté mémoire |
| Score CVSS v3.1 | 8.0 (HIGH / Score Hermes 88) | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
| Version corrigée | 3.0.0 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1548.002 - Bypass User Account Control, T1505.001 - SQL Stored Procedures | Élévation de privilèges / Exécution de commandes |
| Référence forensique | Analyse des privilèges et extensions PostgreSQL | Analyse mémoire et télémétrie des requêtes |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de validation des paramètres :
-- Flaw in anon.sql-- VULNERABILITY: Missing SET search_path = pg_catalog, pg_temp;CREATE OR REPLACE FUNCTION anon.anonymize_database()RETURNS BOOLEAN AS $$BEGIN -- If an attacker created an operator = (text, text) in schema 'public', -- it gets invoked here under superuser execution! IF anon.is_masked() THEN ... END IF;END;$$ LANGUAGE plpgsql SECURITY DEFINER;Sous certaines conditions d’exploitation, le moteur de base de données exécute du SQL non neutralisé, subit un bouclage arithmétique ou dépasse les limites allouées en mémoire vive.
CREATE OPERATOR public.= (FUNCTION = evil_func, LEFTARG = text, RIGHTARG = text);.PostgreSQL Anonymizer (anon extension - search_path).evil_func est exécuté sous l’identité superutilisateur, octroyant les privilèges maximaux à l’attaquant..Les équipes d’administration de bases de données et les analystes DFIR peuvent détecter les tentatives d’exploitation dans les journaux de requêtes et les traces système.
Journaux PostgreSQL & crashs
Surveillez /var/log/postgresql/ à la recherche des motifs :
postgres: Superuser executed custom operator public.= defined by untrusted user. Recherchez les erreurs de syntaxe inattendues ou les arrêts anormaux de workers.
Auditd & traçage des commandes
Tracez les processus enfants créés sous l’utilisateur postgres ou l’exécution de programmes via COPY. Consultez Analyse des privilèges et extensions PostgreSQL.
title: PostgreSQL Operator Creation in Public Schema Followed by Extension Run (FR)id: cve-2026-2360status: experimentaldescription: Détecte les anomalies d'exécution SQL et les signatures d'exploitation pour CVE-2026-2360.logsource: category: database product: postgresqldetection: selection: - 'postgres:' - 'postgresql_anonymizer' condition: selectionfields: - Query - Userlevel: high# Surveillance par tracepoint eBPF des processus spawned par PostgreSQLsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "postgres"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des instances PostgreSQL repose sur le déploiement des correctifs et le durcissement des privilèges :
dalibo:postgresql_anonymizer vers la version 3.0.0 ou supérieure via vos dépôts de distribution officiels.public (REVOKE CREATE ON SCHEMA public FROM PUBLIC;) et fixez systématiquement search_path = 'pg_catalog'.