КиберосноваSGRC
BDU:2026-11957
Высокий

BDU:2026-11957: Уязвимость модуля refint системы управления базами данных PostgreSQL, позволяющая нарушителю выполнить произвольный код

CVSS v38.8
CVSS v29.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-11957

Описание

Уязвимость модуля refint системы управления базами данных PostgreSQL связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Что делать с BDU:2026-11957

Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
8.8Высокий
Пересчитать →
v2
9.0
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-843

CVE — международный идентификатор

CVE-2026-14671
CWE-843
Путаница типов

CWE-843 — путаница типов: ресурс создаётся с одним типом, а затем используется как другой, несовместимый. Ошибка проявляется в C и C++ при разборе структур и работе с объединениями, а также в интерпретируемых языках при подмене типов. Злоумышленник добивается выхода за границы буфера, чтения чужих данных или выполнения произвольного кода.

Как атакуют и что делать ▾

Сценарий атаки

Объект одного типа интерпретируется как другой (type confusion в JavaScript-движке). Атакующий получает доступ к произвольной памяти.

Последствия

Выполнение произвольного кода в контексте браузера или runtime.

Рекомендации

Обновляйте runtime/движок, используйте strict typing, fuzzing для обнаружения.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (12)

ВендорНазваниеВерсияПлатформа
ООО «Ред Софт»РЕД ОС7.3Не указана
АО «ИВК»АЛЬТ СП 10-Не указана
ООО «Ред Софт»РЕД ОС8.0Не указана
АО «СберТех»Platform V Pangolin DB6.4.4Не указана
АО «СберТех»Platform V Pangolin DB7.2.0Не указана
PostgreSQL Global Development GroupPostgreSQLдо 14.24.1Не указана
PostgreSQL Global Development GroupPostgreSQLдо 15.19.1Не указана
PostgreSQL Global Development GroupPostgreSQLдо 16.15.1Не указана
PostgreSQL Global Development GroupPostgreSQLдо 17.11.1Не указана
PostgreSQL Global Development GroupPostgreSQLдо 18.6.1Не указана
ООО «Тантор Лабс»СУБД «Tantor»до 16.15.0Не указана
ООО «Тантор Лабс»СУБД «Tantor»до 15.19.0Не указана

Среды функционирования (7)

ВендорНазваниеВерсияПлатформа
ООО «Ред Софт»РЕД ОС7.3Не указана
АО «ИВК»АЛЬТ СП 10-Не указана
ООО «Ред Софт»РЕД ОС8.0Не указана
АО «СберТех»Platform V Pangolin DB6.4.4Не указана
АО «СберТех»Platform V Pangolin DB7.2.0Не указана
ООО «Тантор Лабс»СУБД «Tantor»до 16.15.0Не указана
ООО «Тантор Лабс»СУБД «Tantor»до 15.19.0Не указана

Рекомендации по устранению

Использование рекомендаций производителя: https://www.postgresql.org/support/security/CVE-2026-14671 Компенсирующие меры: - отключение или удаление модуля refint, если он не используется: DROP EXTENSION IF EXISTS refint; - ограничение прав на создание объектов в базе данных только для доверенных пользователей; - мониторинг и аудит создания объектов, использующих модуль refint Обновление Platform V Pangolin DB до версии 6.4.5 / 7.2.1 Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/ Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/ Для Ред ОС: http://repo.red-soft.ru/redos/8.0/aarch64/updates/ Для СУБД «Tantor»: обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.19.0, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD) обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 16.15.0, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-08-13

Опубликована

2026-08-20

Обновлена

2026-10-28

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-14671 MITRE: CWE-843 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Высокий
7.5

Уязвимость функции decode() ASN.1 библиотеки pyasn1 языка программирования Python, позволяющая нарушителю вызвать отказ

 
Критический
9.8

Уязвимость функции tcp_v4_syn_recv_sock() реализации протокола IPv4 ядра операционной системы Linux, позволяющая нарушит

 
Средний
7.7

Уязвимость компонента irqchip/renesas-rzg2l ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обсл

 
Низкий
3.5

Уязвимость ядра операционной системы Linux, связанная с чтением за допустимыми границами буфера данных, позволяющая нару

 
Критический
8.8

Уязвимость функции id_mode_to_cifs_acl() реализации сервера SMB ядра операционной системы Linux, позволяющая нарушителю

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0