JVNDB-2026-029290

PostgreSQL.orgのPostgreSQLにおける複数の脆弱性

PostgreSQLのpgcryptoにおける平文保存の問題により、無効化された暗号を通じてユーザーが誤った暗号文を直接観察し、平文を復元できる可能性があります。無効化された暗号はOpenSSLのバージョンおよび設定によって決まります。アプリケーションが暗号化データを入力として受け入れる場合、誤った鍵でも復号に成功してしまいます。これにより、改変検出コード（MDC）が提供するわずかな保護が失われてしまいます。影響を受ける関数は、pgp_sym_encrypt、pgp_sym_decrypt、pgp_pub_encrypt、pgp_pub_decrypt、pgp_sym_encrypt_bytea、pgp_sym_decrypt_bytea、pgp_pub_encrypt_bytea、pgp_pub_decrypt_byteaです。PostgreSQLのバージョン18.5未満、17.11未満、16.15未満、15.19未満、および14.24未満が影響を受けます。

PostgreSQL.org

• PostgreSQL 14.0 以上 14.24 未満
• PostgreSQL 15.0 以上 15.19 未満
• PostgreSQL 16.0 以上 16.15 未満
• PostgreSQL 17.0 以上 17.11 未満
• PostgreSQL 18.0 以上 18.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

PostgreSQL.org

• PostgreSQL : PostgreSQL: CVE-2026-14663: PostgreSQL pgcrypto, for OpenSSL-disabled ciphers, silently encrypts to and decrypts from cleartext

1. ファイル内またはディスク上の平文保存(CWE-313) [その他]
2. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-14663

1. National Vulnerability Database (NVD) : CVE-2026-14663

• [2026年08月20日]
    掲載