pgvector: Out-of-bounds-Schreibzugriff beim Erstellen von IVFFlat-Indizes
Zusammenfassung
pgvector, eine Open-Source-Erweiterung für PostgreSQL zur Ähnlichkeitssuche über Vektoren, enthält einen Out-of-bounds-Schreibzugriff beim Erstellen eines IVFFlat-Index. Ein Datenbankbenutzer, der einen IVFFlat-Index erstellen darf, kann Daten über das Ende eines Puffers hinaus schreiben, was zur Ausführung beliebigen Codes führen kann. Gemäss CVE-Eintrag sind PostgreSQL-Installationen standardmässig nicht betroffen.
Betroffen
- pgvector vor 0.8.7 (CVE-Eintrag: 0 bis < 0.8.7; Upstream-Issue: 0.8.6 und älter)
Behoben in
- pgvector 0.8.7
- Red Hat: RHSA-2026:88359 (PostgreSQL-16-Pakete) und RHSA-2026:88360 (PostgreSQL-18-Pakete) enthalten pgvector 0.8.7
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme vorhanden. Das Einschränken der Berechtigung zum Erstellen oder Neuindexieren von IVFFlat-Indizes reduziert das Risiko (nicht vom Hersteller bestätigt).
Ausnutzung
- In den geprüften Quellen wurde kein Hinweis auf Ausnutzung gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- pgvector auf 0.8.7 oder neuer aktualisieren, einschliesslich Container-Images und Betriebssystem-Paketen.
- Auf allen PostgreSQL-Servern die installierte Version prüfen.
- Prüfen, welche Datenbankrollen Indizes erstellen oder neu indexieren dürfen, und diese Rechte einschränken.
- Nach Möglichkeit Migrationsrollen von Applikationsrollen trennen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- pgvector issue #1036: Buffer overflow with IVFFlat index build github.com
- pgvector fix commit ee00d39 github.com
- PostgreSQL.org: pgvector 0.8.7 released www.postgresql.org
- Red Hat RHSA-2026:88359 access.redhat.com
- Vulners: RHSA-2026:88360 (CVE-2026-103484) vulners.com
- Vulners: SUSE CVE-2026-103484 vulners.com
- The Build: The vector that lied about its dimensions thebuild.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.