postgres-exporter: Informationsoffenlegung über exponierte pprof-Debug-Endpunkte
Zusammenfassung
Der postgres-exporter stellt die Debug-Endpunkte von Go net/http/pprof auf dem nicht authentifizierten Metrics-Listener bereit. Ein entfernter Angreifer mit Zugriff auf das Cluster-Netzwerk kann Prozessargumente, Goroutine-Stacks und Heap-Dumps auslesen, die Datenbank-Verbindungszeichenfolgen oder Passwörter enthalten können. Wiederholte CPU-Profiling-Anfragen können zudem zu einer Denial-of-Service-Situation führen.
Betroffen
- Red Hat Multicluster Global Hub (Standardkonfiguration gemäss CNA-Eintrag)
- Debian-Pakete prometheus-postgres-exporter (gemäss OSV-Eintrag, Versionen nicht vollständig bestätigt)
- Genaue betroffene Upstream-Versionen: Unbekannt.
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt.
Umgehung
- Den Netzwerkzugriff auf den Metrics-Port (9187) des postgres-exporters einschränken.
- Eine Kubernetes-NetworkPolicy erstellen, die eingehende Verbindungen nur vom Prometheus-Scraper oder anderen vertrauenswürdigen Überwachungskomponenten erlaubt.
- Den Zugriff auf den Exporter-Port auf Host- und Cloud-Firewalls blockieren und den Exporter von gemeinsam genutzten oder benutzerseitigen Netzwerken fernhalten.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Nicht in der CISA KEV-Liste.
- Kein öffentlicher Proof of Concept und kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Die Netzwerkeinschränkung (NetworkPolicy oder Firewall-Regeln) für den postgres-exporter-Dienst jetzt umsetzen.
- Prüfen, ob der Exporter in gemeinsam genutzten oder nicht vertrauenswürdigen Netzwerken erreichbar ist, und kontrollieren, welche pprof-Endpunkte antworten.
- Auf eine aktuelle Upstream- oder Herstellerversion aktualisieren, sobald eine Korrektur bestätigt ist, und prüfen, dass die pprof-Endpunkte entfernt sind.
- Falls ein exponierter Exporter möglicherweise angesprochen wurde, Datenbankpasswörter rotieren.
- Zugriffe auf den Metrics-Port überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE page access.redhat.com
- Red Hat Bugzilla 2526444 bugzilla.redhat.com
- OSV (Debian) record osv.dev
- Upstream postgres_exporter releases github.com
- OpenCVE CVE summary (KEV status, workaround) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 18:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.