CVE-2026-6475 Seguimiento de enlaces simbólicos en pg_basebackup y pg_rewind de PostgreSQL

Qué es CVE-2026-6475

El seguimiento de enlaces simbólicos en el formato plano de pg_basebackup y en pg_rewind de PostgreSQL permite a un superusuario de origen sobrescribir archivos locales, por ejemplo /var/lib/postgres/.bashrc, para secuestrar la cuenta del sistema operativo. El impacto práctico requiere acciones entre esos comandos y el arranque del servidor, como mover los archivos a otra VM o tomar una instantánea. Afecta a versiones anteriores a PostgreSQL 18.4, 17.10, 16.14, 15.18 y 14.23.

Productos y versiones afectadas

• PostgreSQL

  • desde 18 hasta antes de 18.4
  • desde 17 hasta antes de 17.10
  • desde 16 hasta antes de 16.14
  • desde 15 hasta antes de 15.18
  • hasta antes de 14.23

Qué hacer

1. Verificá si usás PostgreSQL y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• abraxas/postgres-basebackup-symlink ↗PostgreSQL 18.6 - High - Remote - File write - pg_basebackup follows absolute tar symlink leftover of CVE-2026-6475PUBLICADO 12 OCT · 11:02

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Symlink following in PostgreSQL pg_basebackup plain format and in pg_rewind allows an origin superuser to overwrite local files, e.g. /var/lib/postgres/.bashrc, that hijack the operating system account. It will remain the case that starting the server after these commands implicitly trusts the origin superuser, due to features like shared_preload_libraries. Hence, the attack has practical implications only if one takes relevant action between these commands and server start, like moving the files to a different VM or snapshotting the VM. Versions before PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 are affected.

Referencias

• www.postgresql.org/support/security/CVE-2026-6475/

Historial de la alerta

1. 12 OCT · 11:02EXPLOIT PÚBLICO Se publicó el repositorio abraxas/postgres-basebackup-symlink.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.