CVE-2026-6476 : injection SQL via le nom de souscription dans pg_createsubscriber de PostgreSQL

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE BASE DE DONNÉES

Cible : PostgreSQL Server (src/bin/pg_basebackup/pg_createsubscriber.c)

Confiance : 95%

86 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-6476 à 7.2 (HIGH, CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 86 (HIGH) en raison de la criticité des données stockées dans le SGBD PostgreSQL.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-6476: PostgreSQL pg_createsubscriber Subscription Name SQL InjectionVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTPostgreSQL

98% VERY_HIGH

Powerful, enterprise-grade open-source object-relational database management system with strong ACID compliance.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in PostgreSQL Database Server documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité base de données : CWE-89 : improper neutralization of special elements used in an SQL command ('SQL injection')

CVSS v3.1 : 7.2 HIGH : (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) / CWE-89: Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’). Corrigée dans la version officielle amont 18.4.

Résumé exécutif

La CVE-2026-6476 affecte les versions majeures 17 et 18 de PostgreSQL (avant 18.4 et 17.10). Lorsque l’administrateur exécute pg_createsubscriber pour convertir un réplica physique en souscripteur logique, l’utilitaire interroge les souscriptions existantes et assemble des requêtes SQL administratives par simple concaténation de chaînes. Un utilisateur non superutilisateur possédant le droit pg_create_subscription peut nommer une souscription avec une charge SQL malveillante, prenant le contrôle total du serveur lors de l’exécution de l’outil.

---

1. Contexte technique & matrice des versions affectées

Le composant PostgreSQL Server (src/bin/pg_basebackup/pg_createsubscriber.c) intervient au cœur du moteur relationnel, des outils d’administration et des protocoles de réplication de PostgreSQL.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-6476	Bulletin officiel de sécurité amont
Produit affecté	postgresql:postgresql	Écosystème de bases de données relationnelles
Composant vulnérable	PostgreSQL Server (src/bin/pg_basebackup/pg_createsubscriber.c)	Moteur PostgreSQL / Outil / Extension
Classe de faiblesse	CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')	Faiblesse de contrôle d’accès / Sûreté mémoire
Score CVSS v3.1	7.2 (HIGH / Score Hermes 86)	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Version corrigée	18.4	Correctif officiel amont
Techniques MITRE ATT&CK	T1078 - Valid Accounts, T1505.001 - SQL Stored Procedures	Élévation de privilèges / Exécution de commandes
Référence forensique	Analyse des privilèges et élévation de droits sous Linux	Analyse mémoire et télémétrie des requêtes

---

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence la faille logique ou l’absence de validation des paramètres :

// Flaw in src/bin/pg_basebackup/pg_createsubscriber.c
static void
setup_subscriber_sys(PGconn *conn, const char *subname)
{
    PQExpBuffer str = createPQExpBuffer();
    /* VULNERABILITY: Formats query using %s without PQescapeIdentifier */
    appendPQExpBuffer(str,
                      "ALTER SUBSCRIPTION %s ENABLE;",
                      subname); // Injects arbitrary SQL into superuser session!
    PQexec(conn, str->data);
    destroyPQExpBuffer(str);
}

Sous certaines conditions d’exploitation, le moteur de base de données exécute du SQL non neutralisé, subit un bouclage arithmétique ou dépasse les limites allouées en mémoire vive.

---

3. Scénarios d’attaque & modélisation des menaces

1. Vecteur initial & prérequis : un utilisateur disposant de pg_create_subscription crée une souscription nommée sub"; CREATE ROLE pwn SUPERUSER LOGIN PASSWORD '123'; --.
2. Déclenchement de la primitive : l’attaquant injecte une requête forgée ou soumet des données altérées vers PostgreSQL Server (src/bin/pg_basebackup/pg_createsubscriber.c).
3. Rupture d’isolement : le mécanisme de contrôle d’accès ou l’intégrité de la mémoire est rompu.
4. Conséquences opérationnelles : la commande injectée s’exécute, créant un compte superutilisateur pirate..

---

4. Détection forensique, artefacts & logs système

Les équipes d’administration de bases de données et les analystes DFIR peuvent détecter les tentatives d’exploitation dans les journaux de requêtes et les traces système.

Journaux PostgreSQL & crashs

Surveillez /var/log/postgresql/ à la recherche des motifs : postgres: [statement] CREATE ROLE pwn SUPERUSER LOGIN ... executed by pg_createsubscriber. Recherchez les erreurs de syntaxe inattendues ou les arrêts anormaux de workers.

Auditd & traçage des commandes

Tracez les processus enfants créés sous l’utilisateur postgres ou l’exécution de programmes via COPY. Consultez Analyse des privilèges et élévation de droits sous Linux.

Règles de détection et Threat Hunting

Règle Sigma

sigma_cve_2026_6476.yaml

title: PostgreSQL Subscription Name Containing Embedded SQL Injection Statements (FR)
id: cve-2026-6476
status: experimental
description: Détecte les anomalies d'exécution SQL et les signatures d'exploitation pour CVE-2026-6476.
logsource:
    category: database
    product: postgresql
detection:
    selection:
        - 'postgres:'
        - 'postgresql'
    condition: selection
fields:
    - Query
    - User
level: high

Tracepoint eBPF

# Surveillance par tracepoint eBPF des processus spawned par PostgreSQL
sudo bpftrace -e '
tracepoint:syscalls:sys_enter_execve /comm == "postgres"/ {
    printf("PID %d a lancé: %s\n", pid, str(args->filename));
}'

---

5. Remédiation, durcissement & mesures d’atténuation

La sécurisation des instances PostgreSQL repose sur le déploiement des correctifs et le durcissement des privilèges :

1. Mise à jour logicielle : mettez à niveau postgresql:postgresql vers la version 18.4 ou supérieure via vos dépôts de distribution officiels.
2. Durcissement des schémas : révoquez les droits de création sur le schéma public (REVOKE CREATE ON SCHEMA public FROM PUBLIC;) et fixez systématiquement search_path = 'pg_catalog'.
3. Surveillance forensique : pour approfondir l’investigation et l’analyse forensique, consultez notre guide sur Analyse des privilèges et élévation de droits sous Linux.