CVE-2026-42198
Descripción de la Vulnerabilidad
CVE-2026-42198 es una vulnerabilidad relacionada con el componente pgjdbc, un driver JDBC para PostgreSQL. La vulnerabilidad permite a un servidor malicioso provocar un denial of service (DoS) en clientes que usan versiones antiguas del driver. Durante la autenticación SCRAM-SHA-256, un atacante puede instruir al cliente a realizar una autenticación con un número muy elevado de iteraciones, lo que consume un tiempo CPU incontrolable.
Este tipo de ataque es un DoS client-side, ya que el impacto cae en el cliente y no en el servidor. La vulnerabilidad afecta a versiones del driver pgjdbc desde la 42.2.0 hasta antes de la 42.7.11.
Sistemas Afectados
La vulnerabilidad afecta a sistemas que utilizan el driver pgjdbc para conectarse a una base de datos PostgreSQL, específicamente en versiones:
- 42.2.0 hasta 42.7.10
- Cualquier sistema que implemente la autenticación SCRAM-SHA-256 con el driver mencionado.
Impacto y Explotabilidad
El ataque aprovecha una falla en el algoritmo de autenticación SCRAM-SHA-256, donde un servidor malicioso puede forzar a un cliente a realizar una autenticación con un número extremadamente alto de iteraciones. Esto hace que el cliente consuma CPU de forma descontrolada, lo cual puede llevar a:
- Exhaustión de recursos: Un único intento puede usar un núcleo de CPU.
- Paradas de servicio: Si se realizan múltiples o concurrentes intentos, el sistema puede ser inutilizable.
El CVSS de esta vulnerabilidad es 7.5, lo que indica un impacto significativo y una explotabilidad relativamente fácil para atacantes maliciosos.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación y Parches
La solución más efectiva es actualizar el driver pgjdbc a una versión posterior a 42.7.11, ya que esta versión corrige la vulnerabilidad en el algoritmo de autenticación SCRAM-SHA-256.
Como medidas preventivas adicionales:
- Monitoreo de tráfico: Supervisar los intentos de autenticación con valores extremadamente altos de iteraciones.
- Límites de tiempo: Configurar límites de tiempo para procesar solicitudes de autenticación en el cliente o servidor.