pgAdmin 4: Anmeldung an anderes Konto mit gleichem Benutzernamen (LDAP/Kerberos)
Zusammenfassung
Im Server-Modus kann pgAdmin 4 einen LDAP- oder Kerberos-Benutzer in ein internes Konto mit gleichem Benutzernamen anmelden, einschliesslich des initialen Administratorkontos. Die Sitzung erhält dann die Rolle, Server und gespeicherten Datenbankpasswörter dieses anderen Kontos. Voraussetzung ist ein gültiges Benutzerkonto eines LDAP-Verzeichnisses oder Kerberos-Realms, den pgAdmin nutzt. Der Desktop-Modus ist nicht betroffen.
Betroffen
- pgAdmin 4 Server-Modus vor Version 9.19
- Desktop-Modus ist nicht betroffen
Behoben in
- Behoben in pgAdmin 4 Version 9.19 (veröffentlicht am 29.10.2026)
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Massnahme. Die Deaktivierung von LDAP- oder Kerberos-Authentifizierung bis zur Aktualisierung könnte das Risiko senken, dies wurde jedoch nicht verifiziert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden. Die Fix-Commits des Herstellers und das Tracking-Issue sind öffentlich.
Unsere Empfehlung
- Aktualisieren Sie pgAdmin 4 im Server-Modus auf Version 9.19 oder neuer. Das Release behebt zusätzlich 15 weitere CVEs, daher sollte es als eine Aktualisierung behandelt werden.
- Prüfen Sie bis zur Aktualisierung, welche Installationen LDAP- oder Kerberos-Authentifizierung verwenden, und beschränken Sie den Zugriff darauf.
- Überprüfen Sie Anmeldungen am Administratorkonto und an Konten mit demselben Benutzernamen wie LDAP- oder Kerberos-Benutzer.
- Überwachen Sie die Authentifizierungsprotokolle auf unerwartete Anmeldungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- pgAdmin fix commit 269e32d (Kerberos and internal authentication) github.com
- pgAdmin fix commit 7378060 (LDAP authentication) github.com
- pgAdmin tracking issue #10675 github.com
- pgAdmin 4 version 9.19 release notes www.pgadmin.org
- PostgreSQL news: pgAdmin 4 v9.19 released www.postgresql.org
- VulDB entry 429376 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.