PgBouncer: Authentifizierungsumgehung durch zweite StartupMessage bei SCRAM-Authentifizierung
Zusammenfassung
PgBouncer in den Versionen 1.17.0 bis 1.26.0 akzeptiert während der SCRAM-Authentifizierung eine zweite StartupMessage, wenn der Client auf eine nicht existierende Datenbank zugreift. Die Anmeldung wechselt dann zu einem anderen Benutzer, während der SCRAM-Austausch weiterhin gegen die Schlüssel des ersten Benutzers geprüft wird. Ein Angreifer, der das Passwort eines in auth_file aufgeführten Benutzers kennt, kann sich als jeder andere SCRAM-Benutzer anmelden, einschliesslich PgBouncer-Admin-Benutzern und Backend-Superusern, was zur vollständigen Kompromittierung der PostgreSQL-Datenbank führen kann. Der Angriff setzt voraus, dass für beide Benutzer SCRAM-Authentifizierung verwendet wird; die Standardkonfiguration ist nicht betroffen.
Betroffen
- PgBouncer 1.17.0 bis 1.26.0
- Voraussetzungen: SCRAM-Authentifizierung wird sowohl für den Benutzer des Angreifers als auch für den imitierten Benutzer verwendet; der imitierte Benutzer kann aus auth_file oder auth_query stammen
Behoben in
- PgBouncer 1.26.1 (veröffentlicht am 14.10.2026)
Umgehung
- Keine vom Hersteller dokumentierte Workaround gefunden.
- Hinweis des Herstellers: Das Problem setzt SCRAM für beide Benutzer voraus; Härtungsmassnahmen sind eigene Empfehlungen der Betreiber, nicht Vorgaben des Herstellers.
Ausnutzung
- In freier Wildbahn ausgenutzt: nichts bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: in unserer Recherche nicht gefunden (dies beweist nicht, dass keiner existiert).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- EPSS lag bei der Erfassung bei etwa 0,0037.
Unsere Empfehlung
- PgBouncer so bald wie möglich auf Version 1.26.1 oder neuer aktualisieren. Das genaue Paket der Distribution im jeweiligen Security-Tracker prüfen.
- Bis zum Update den Netzwerkzugriff auf den PgBouncer-Port auf die benötigten Anwendungshosts beschränken.
- Die in auth_file aufgeführten Konten prüfen und begrenzen.
- Den Zugriff auf die Admin-Konsole einschränken.
- Anmeldungen überwachen und Logs auf unerwartete Benutzerwechsel prüfen.
- Priorität: hoch, wenn PgBouncer produktives PostgreSQL mit SCRAM-Benutzern vorgelagert ist; mittel, wenn er in einem streng segmentierten internen Netz läuft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- PgBouncer changelog www.pgbouncer.org
- PostgreSQL news on PgBouncer 1.26.1 www.postgresql.org
- OSV record (Bitnami) osv.dev
- OpenCVE CVE-2026-107350 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.