pgjdbc (PostgreSQL JDBC Driver - Channel Binding) Le score CVSS v3.1 évalue CVE-2026-54291 à 7.5 (HIGH, CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N). Le score opérationnel Hermes s'établit à 84 (HIGH) en raison de la criticité des données stockées dans le SGBD PostgreSQL.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in PostgreSQL JDBC Driver documented in Hermes dossier.”
Le composant pgjdbc (PostgreSQL JDBC Driver - Channel Binding) intervient au cœur du moteur relationnel, des outils d’administration et des protocoles de réplication de PostgreSQL.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-54291 | Bulletin officiel de sécurité amont |
| Produit affecté | pgjdbc:pgjdbc | Écosystème de bases de données relationnelles |
| Composant vulnérable | pgjdbc (PostgreSQL JDBC Driver - Channel Binding) | Moteur PostgreSQL / Outil / Extension |
| Classe de faiblesse | CWE-319: Cleartext Transmission of Sensitive Information / CWE-287: Improper Authentication | Faiblesse de contrôle d’accès / Sûreté mémoire |
| Score CVSS v3.1 | 7.5 (HIGH / Score Hermes 84) | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
| Version corrigée | 42.7.12 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1557 - Adversary-in-the-Middle, T1040 - Network Sniffing | Élévation de privilèges / Exécution de commandes |
| Référence forensique | Surveillance des connexions et négociation TLS Linux | Analyse mémoire et télémétrie des requêtes |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de validation des paramètres :
// Bug in org.postgresql.core.v3.ConnectionFactoryImpltry { byte[] serverHash = md.digest(serverCert.getEncoded()); return new ScramSha256PlusAuthenticator(serverHash);} catch (NoSuchAlgorithmException | CertificateEncodingException e) { /* VULNERABILITY: If channelBinding=require, catching this and falling back silently downgrades security to standard SCRAM without channel binding! */ LOGGER.log(Level.WARNING, "Falling back to SCRAM-SHA-256 without channel binding", e); return new ScramSha256Authenticator(); // MitM vulnerability!}Sous certaines conditions d’exploitation, le moteur de base de données exécute du SQL non neutralisé, subit un bouclage arithmétique ou dépasse les limites allouées en mémoire vive.
pgjdbc (PostgreSQL JDBC Driver - Channel Binding).Les équipes d’administration de bases de données et les analystes DFIR peuvent détecter les tentatives d’exploitation dans les journaux de requêtes et les traces système.
Journaux PostgreSQL & crashs
Surveillez /var/log/postgresql/ à la recherche des motifs :
pgjdbc: Falling back to SCRAM-SHA-256 without channel binding in application log. Recherchez les erreurs de syntaxe inattendues ou les arrêts anormaux de workers.
Auditd & traçage des commandes
Tracez les processus enfants créés sous l’utilisateur postgres ou l’exécution de programmes via COPY. Consultez Surveillance des connexions et négociation TLS Linux.
title: PostgreSQL JDBC Client Silent SCRAM Channel-Binding Downgrade Event (FR)id: cve-2026-54291status: experimentaldescription: Détecte les anomalies d'exécution SQL et les signatures d'exploitation pour CVE-2026-54291.logsource: category: database product: postgresqldetection: selection: - 'pgjdbc:' - 'pgjdbc' condition: selectionfields: - Query - Userlevel: high# Surveillance par tracepoint eBPF des processus spawned par PostgreSQLsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "postgres"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des instances PostgreSQL repose sur le déploiement des correctifs et le durcissement des privilèges :
pgjdbc:pgjdbc vers la version 42.7.12 ou supérieure via vos dépôts de distribution officiels.public (REVOKE CREATE ON SCHEMA public FROM PUBLIC;) et fixez systématiquement search_path = 'pg_catalog'.