PgBouncer 1.26.1发布：修复3个CVE，含SCRAM认证绕过

PostgreSQL官方新闻页于2026年10月14日宣布：轻量级连接池PgBouncer发布1.26.1，修复三个CVE，并调整启动参数忽略逻辑。更完整的changelog与下载链接见PgBouncer项目站同日说明。[1][2]

PgBouncer常部署在应用与PostgreSQL之间，负责连接复用与限流。此类组件一旦出现认证或可用性缺陷，影响面可能覆盖多套业务库，因此修复版通常应纳入常规安全更新窗口。

公告列出的问题类型

以下仅转述官方对漏洞类型与配置相关条件的说明，不描述攻击步骤或复现方法。

CVE

官方类型

公告摘要

CVE-2026-107350

认证绕过

SCRAM认证相关：在连接不存在的数据库时处理了额外StartupMessage，可能导致知晓某一SCRAM用户密码的客户端登录为其他SCRAM用户（含管理员与后端超级用户）

CVE-2026-107349

DoS（无限循环）

未认证客户端可触发；与启动options中空选项名有关，且ignore_startup_parameters非空但不含options时

CVE-2026-107348

DoS（无限循环）

未认证客户端可触发；与包缓冲增长中的整数溢出有关，仅当max_packet_size高于默认值时

1.26.1还使ignore_startup_parameters优先于被跟踪参数，从而设置ignore_startup_parameters = search_path时可恢复1.25忽略search_path的行为。[1][2]

运维侧建议（不含利用细节）

  • 确认当前PgBouncer版本；若低于1.26.1，按变更流程升级并做连通性与连接池行为回归。

  • 复核ignore_startup_parameters、max_packet_size等项，确认升级后行为符合预期。

  • 从官方渠道获取pgbouncer-1.26.1.tar.gz并核对公布的校验信息。[2]

说明：本稿只写修复公告事实与升级提醒，不提供exploit、PoC或利用步骤。具体风险评级与补丁优先级以你的安全团队评估为准。

来源

[1] PostgreSQL News《PgBouncer 1.26.1 released - Fixes three CVEs》，2026年10月14日。

[2] PgBouncer《PgBouncer 1.26.1》，2026年10月14日。

#PgBouncer #PostgreSQL #CVE #连接池 #安全更新

排序方式 :

成为第一条评论！

Nobody's responded to this post yet. Add your thoughts and get the conversation going.