JVNDB-2026-014210

PostgreSQL.orgのPostgreSQL JDBC ドライバにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

pgjdbcはオープンソースのPostgreSQL JDBCドライバーです。バージョン42.2.0から42.7.11未満のバージョンにおいて、SCRAM-SHA-256認証中にクライアント側でサービス拒否の脆弱性が存在します。悪意のあるサーバーは、ドライバーに対して非常に大きな反復回数でSCRAM認証を実行するよう指示できます。十分に大きな値を指定すると、認証が失敗する前にクライアントはPBKDF2内で無制限のCPU時間を消費します。単一の試行でもCPUコアを占有します。繰り返しまたは同時に試行すると、クライアントのCPUを枯渇させて接続プールを動作不能にする可能性があります。影響を受けるバージョンでは、loginTimeoutはこの問題を完全には軽減できません。loginTimeoutの期限が切れた場合、呼び出し元は待機を停止できますが、接続試行を行うワーカースレッドはSCRAM PBKDF2計算内で引き続きCPUを消費します。この問題はバージョン42.7.11で修正されました。

PostgreSQL.org

• PostgreSQL JDBC ドライバ 42.2.0 以上 42.7.11 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded PBKDF2 iterations in SCRAM authentication allows CPU exhaustion DoS  Advisory  pgjdbc/pgjdbc  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-42198

1. National Vulnerability Database (NVD) : CVE-2026-42198
2. 関連文書 : Release v42.7.11  pgjdbc/pgjdbc  GitHub

• [2026年05月07日]
    掲載