BDU:2025-15208

Опубликовано: 03 дек. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.1

EPSS Низкий

Описание

Уязвимость программного обеспечения для пула соединения в PostgreSQL PgBouncer связана с ненадежным путем поиска. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Наименование ПО

Astra Linux Special Edition

PgBouncer

РЕД ОС

Версия ПО

1.8 (Astra Linux Special Edition)

до 1.25.1 (PgBouncer)

8.0 (РЕД ОС)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

1. В настройках следующих параметров конфигурации необходимо:

• в параметре track_extra_parameters не должно быть указано значение search_path (не является настройкой по умолчанию);

• в параметре auth_user не должно быть указано имя привилегированного пользователя, от имени которого может быть выполнен произвольный код (не является настройкой по умолчанию);

• в параметре auth_query должны быть указаны полные имена объектов.;

2. Перед использованием любых внешних данных (переменных, параметров) для построения пути их необходимо очищать и проверять;

3. Использовать мониторинг журналов аудита на предмет подозрительной активности;

4. используйте межсетевые экраны для ограничения доступа к портам pgbouncer (обычно 6432) и PostgreSQL (обычно 5432). Доступ должен быть разрешен только с доверенных IP-адресов (например, с серверов приложений);

5. При наличии IDS/IPS решения в инфраструктуре, обеспечить мониторинг сетевого трафика, идущего к pgbouncer и от него, на предмет аномалий и потенциальных атак (например, попыток SQL-инъекций или перебора паролей).

Для pgbouncer:

https://www.pgbouncer.org/changelog.html#pgbouncer-125x

Для ОС Astra Linux:

обновить пакет pgbouncer до 1.18.0-1.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18

Для Ред ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-pgbouncer-cve-2025-12819-7.3/?sphrase_id=1455094

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-12819
CVE

EPSS

Процентиль: 40%

0.00185

Низкий

7.5 High

CVSS3

7.1 High

CVSS2

Связанные уязвимости

ROS-20260209-73-0036

CVSS3: 8.1

redos

около 2 месяцев назад

Уязвимость pgbouncer

CVE-2025-12819

CVSS3: 7.5

ubuntu

4 месяца назад

Untrusted search path in auth_query connection handler in PgBouncer before 1.25.1 allows an unauthenticated attacker to execute arbitrary SQL during authentication via a malicious search_path parameter in the StartupMessage.

CVE-2025-12819

CVSS3: 7.5

nvd

4 месяца назад

CVE-2025-12819

CVSS3: 7.5

msrc

4 месяца назад

Untrusted search path in auth_query connection in PgBouncer

CVE-2025-12819

CVSS3: 7.5

debian

4 месяца назад

Untrusted search path in auth_query connection handler in PgBouncer be ...

EPSS

Процентиль: 40%

0.00185

Низкий

7.5 High

CVSS3

7.1 High

CVSS2