pgAdmin 4 v9.19 behebt 15 Schwachstellen, die meisten im Servermodus
Serguey Asael Shinder1 Min. LesezeitDas pgAdmin-Entwicklungsteam hat am 31. Oktober pgAdmin 4 Version 9.19 veröffentlicht, mit 136 Fehlerkorrekturen und neuen Funktionen, darunter Korrekturen für 15 Sicherheitslücken mit den Nummern CVE-2026-116238 bis CVE-2026-116252.
Die meisten Sicherheitskorrekturen betreffen den Servermodus, in dem eine pgAdmin-Instanz viele Nutzer bedient. Sie verhindern, dass libpq auf Passwortdatei, Client-Zertifikat und Kerberos-Anmeldedaten des pgAdmin-Dienstkontos zurückgreift, dass SSH-Tunnel die SSH-Identität des Dienstkontos verwenden, dass Pfade von Verbindungsdateien das Speicherverzeichnis eines Nutzers verlassen und so die Anmeldedaten eines anderen nutzbar machen, und dass Server-Passwörter in der Prozessumgebung von pgAdmin liegen bleiben. LDAP- und Kerberos-Anmeldungen konnten einen Nutzer in ein anderes Konto mit gleichem Benutzernamen führen, einschließlich des ersten Administrators (CVE-2026-116239), und die Sperre nach Fehlversuchen sowie Passwortprüfungen ließen sich über Flask-Securitys eigene Views umgehen (CVE-2026-116238). Das Import/Export-Werkzeug hatte eine Befehlsinjektion auf Betriebssystemebene, die eine frühere, unvollständige Korrektur von CVE-2026-17566 vervollständigt (CVE-2026-116241).
Zwei Änderungen erfordern beim Update Handarbeit. Frei eingegebene Password-Exec-Befehle im Servermodus werden durch eine vom Administrator definierte Allowlist ersetzt, SERVER_PASSEXEC_COMMANDS, deren Befehle ohne Shell laufen; sie sollte vor dem ersten Start nach dem Update konfiguriert sein. Verbindungsdienste im Servermodus sind ebenso auf eine Allowlist beschränkt, SERVER_MODE_ALLOWED_SERVICES. Zu den neuen Funktionen zählen ein Statistics-Knoten für erweiterte Statistiken, das Bearbeiten über einfache automatisch aktualisierbare Views und das Speichern von Abfrageergebnissen als JSON oder XML.
Was das bedeutet
Der rote Faden der Korrekturen im Servermodus ist eine Identität, die vom Prozess zum Nutzer durchsickert: Anmeldedaten des Kontos, unter dem pgAdmin läuft, waren für den angemeldeten Nutzer erreichbar. Eine Desktop-Installation betrifft das kaum, eine gemeinsam genutzte Instanz ist das Ziel. Dort lohnt es sich, das Update jetzt einzuplanen und die beiden Allowlists vorher anzulegen, denn ein fehlendes SERVER_PASSEXEC_COMMANDS ist genau die Art Änderung, die sich am Montagmorgen als kaputte Anmeldung zeigt.