Pgpool-II publica actualizaciones de seguridad en cinco ramas de mantenimiento

El Pgpool-II Global Development Group ha publicado actualizaciones de mantenimiento menores para cinco de sus ramas de código, solventando múltiples vulnerabilidades de seguridad en este middleware de gestión y proxy de conexiones para PostgreSQL. Las correcciones corresponden a las versiones 4.7.3, 4.6.8, 4.5.13, 4.4.18 y 4.3.21, e incluyen parches dirigidos a la comunicación entre nodos de watchdog, el procesamiento de conmutación por error (failover) y los mecanismos de autenticación mediante certificados.

Vulnerabilidades de corrupción de memoria en watchdog

Estas versiones resuelven diversos fallos de gravedad alta relacionados con la gestión de memoria en el subsistema watchdog de Pgpool-II. Anteriormente, la vulnerabilidad CVE-2026-92867 permitía a atacantes escribir valores arbitrarios de 32 bits en direcciones de memoria arbitrarias enviando mensajes anómalos durante el proceso de conmutación por error. Del mismo modo, CVE-2026-92869 posibilitaba la sobreescritura de memoria más allá de los límites de arreglos de tamaño fijo, mientras que CVE-2026-92870 permitía escrituras de longitud arbitraria capaces de corromper la pila y provocar la caída de los procesos de Pgpool-II.

Evasión de autenticación y filtración de información

La actualización mitiga fallos severos en el control de acceso y la validación de identidad. Bajo la vulnerabilidad CVE-2026-92868, la autenticación por certificado de cliente no procesaba de forma adecuada los bytes NUL en el campo Common Name de los certificados X.509, permitiendo que clientes no autorizados se conectaran como otros usuarios sin proporcionar contraseña. En entornos con comunicación entre nodos watchdog, CVE-2026-92873 permitía esquivar la verificación de claves de autenticación para promover nodos watchdog arbitrarios a estado líder, mientras que CVE-2026-92871 provocaba desreferencias de puntero NULL cuando se omitían las claves en mensajes manipulados. Adicionalmente, CVE-2026-92872 corrige un fallo de divulgación de información en el proceso receptor de heartbeat.

Disponibilidad y paquetes de código fuente

Se recomienda a los administradores de bases de datos que gestionen instalaciones de Pgpool-II en despliegues de alta disponibilidad con PostgreSQL consultar los detalles de la versión y actualizar sus sistemas. Los paquetes ya se encuentran disponibles para los usuarios tanto en archivos comprimidos con código fuente original como en paquetes RPM precompilados para todas las ramas de mantenimiento compatibles.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Pgpool-II 4.7.3, 4.6.8, 4.5.13, 4.4.18 and 4.3.21 released.