EnterpriseDB repmgr: OS-Command-Injection in Ereignisbenachrichtigungen

Zusammenfassung

repmgr, eine Werkzeugsammlung zur Verwaltung von PostgreSQL-Replikationsclustern, fügt Node-Namen und Verbindungszeichenfolgen ohne ausreichende Maskierung in Befehle für Ereignisbenachrichtigungen und Failover-Validierung ein, wodurch OS-Command-Injection möglich ist. Ein Angreifer mit Zugangsdaten eines Nicht-Superuser-Datenbankbenutzers von repmgr kann einen präparierten Node-Datensatz schreiben und auf anderen Cluster-Knoten, die ein Ereignis mit den Platzhaltern %a, %c oder %d verarbeiten, OS-Befehle ausführen. Die Befehle laufen als Betriebssystembenutzer, der repmgr oder repmgrd ausführt (in der Regel postgres). Installationen ohne diese Platzhalter sind nicht betroffen, und Superuser-Datenbankrollen erhalten keine zusätzlichen Möglichkeiten.

Betroffen

• repmgr 4.0.0 bis 5.5.0
• Offizieller CVE-Eintrag: betroffen 4.0.0 bis vor 5.5.1
• Nur Installationen, die event_notification_command oder failover_validation_command mit den Platzhaltern %a, %c oder %d verwenden, sind betroffen

Behoben in

• repmgr 5.5.1
• Für den 4.x-Zweig ist uns kein korrigierter Release bekannt; 4.x gilt bis zu einer anderslautenden Herstellerangabe als betroffen

Umgehung

• Die Platzhalter %a, %c und %d aus event_notification_command und failover_validation_command entfernen, bis das Update abgeschlossen ist (eigene Empfehlung, nicht vom Hersteller bestätigt)
• Einschränken, welche Datenbankrollen in die Tabelle repmgr.nodes schreiben dürfen

Ausnutzung

• Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt; der CISA-KEV-Katalog wurde nicht direkt geprüft
• Kein öffentlicher Proof of Concept gefunden
• VulDB führt den Eintrag als 0-Day mit dem Status bestätigt; dies beschreibt den Eintrag, nicht bestätigte Angriffe

Unsere Empfehlung

• repmgr auf 5.5.1 oder neuer aktualisieren und einen Migrationspfad für allfällige 4.x-Installationen planen
• Nach dem Update alle Anführungszeichen um %a, %c und %d entfernen, da in Anführungszeichen gesetzte Platzhalter weiterhin für Injection offen sind
• Bis zum Update diese Platzhalter entfernen, sofern sie nicht zwingend benötigt werden, und den Schreibzugriff auf repmgr.nodes einschränken
• Prüfen, dass PostgreSQL- und repmgr-Ports nicht aus dem Internet erreichbar sind, und Änderungen an repmgr.nodes überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• repmgr v5.5.1 release (vendor) github.com
• EDB security advisory CVE-2026-122043 www.enterprisedb.com
• CVE record CVE-2026-122043 www.cve.org
• repmgr changelog (HISTORY) github.com
• VulDB entry 435854 vuldb.com
• OffSeq threat radar entry radar.offseq.com
• repmgr event notifications documentation github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:27.