CVE-2026-54291
Publiée le 2026-07-06 · Dernière modification le 2026-07-09
Les applications utilisant le pilote JDBC PostgreSQL (versions 42.7.4 à 42.7.11) sont affectées par une faille qui fragilise les connexions chiffrées. Un attaquant positionné sur le réseau pour intercepter le trafic (une attaque de type « man-in-the-middle ») peut réduire silencieusement la sécurité de votre authentification, contournant ainsi les protections fournies par le « channel binding » pour potentiellement détourner la session. Cette opération est difficile à exécuter, car elle nécessite que l'attaquant occupe une position réseau spécifique et utilise un certificat spécialement conçu pour déclencher ce déclassement de sécurité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
pgjdbc is an open source postgresql JDBC Driver. In releases 42.7.4 through 42.7.11, channelBinding=require connections can be silently downgraded from SCRAM-SHA-256-PLUS with channel binding to plain SCRAM-SHA-256 without it, losing the man-in-the-middle protection the setting is meant to guarantee. An attacker who can intercept the TLS connection can trigger the downgrade with a certificate whose signature algorithm has no tls-server-end-point channel-binding hash, because the bundled com.ongres.scram:scram-client returns an empty byte array instead of failing and pgJDBC ScramAuthenticator checks only that the server advertised a PLUS mechanism, without rejecting the empty binding or checking that the negotiated mechanism uses channel binding. This issue is fixed in version 42.7.12.