CVE-2026-78183 в Debian: heap out-of-bounds write в DBD::Pg и статус исправлений

CVE: CVE-2026-78183
Продукт: Debian
Дата публикации: 23.08.2026
Критичность: CRITICAL
CVSS: 9.8 (3.1)
EPSS: 0,55%; процентиль 43,67%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В версии 3.21.0 Perl-модуля DBD::Pg обнаружена ошибка переполнения кучи (heap out-of-bounds write) в функции quote_float. Дефект возникает при обработке специальных числовых литералов, таких как Infinity или NaN, и может быть вызван через метод $dbh->quote. В дистрибутиве Debian пакет libdbd-pg-perl во всех поддерживаемых ветках содержит версии, не затронутые этим регрессом, что подтверждается статусом resolved в Debian Security Tracker.

Основные характеристики​

Риск связан с нарушением целостности памяти при форматировании специальных числовых значений в SQL-запросах. Ошибка позволяет записать данные за пределы выделенного буфера, что потенциально ведет к компрометации процесса Perl-скрипта.

• Тип ошибки: CWE-787 (Out-of-bounds Write). Запись за границы выделенной области памяти.
  
• CVSS 3.1: 9.8 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Высокая оценка отражает сетевой вектор атаки и отсутствие необходимости в привилегиях.
  
• Условия атаки: Атакующий должен иметь возможность передать управляемые строки в метод quote с типом DBI::SQL_NUMERIC.
  
• Эксплуатация: Публичные данные о массовой эксплуатации в реальных атаках отсутствуют. CVE имеет статус Deferred.
  
• EPSS: 0,55% (процентиль 43,66%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает исходный код Perl-модуля DBD::Pg версии 3.21.0. В контексте Debian пакет libdbd-pg-perl распространяется в версиях, которые не содержат дефектного кода из релиза 3.21.0.

Согласно данным Debian Security Tracker, статус для всех перечисленных ниже релизов является resolved, а срочность (urgency) указана как unimportant. Это означает, что в официальных репозиториях Debian установлены версии, не подверженные данной ошибке:

• bookworm: 3.16.0-2
  
• bullseye: 3.14.2-1
  
• forky: 3.20.2-1
  
• sid: 3.20.2-1
  
• trixie: 3.18.0-1
  

Пользователи, установившие модуль напрямую из CPAN в версии 3.21.0, находятся в зоне риска, если их окружение не обновлено до исправленной версии 3.21.1 или выше.

Причина уязвимости​

Причина дефекта кроется в регрессии, введенной в версии 3.21.0 при переписывании файла quote.c. Функция quote_float отвечает за безопасное форматирование числовых значений для вставки в SQL-запросы.

Алгоритм вычисления размера буфера содержит логическую ошибку. Функция выделяет память под строку, рассчитывая размер как длину входного символа плюс 1 байт (под NULL-терминатор). Однако при обработке специальных литералов, таких как NaN, Inf, +Inf, -Inf, Infinity и их вариантов, функция генерирует выходную строку, которая включает кавычки вокруг литерала и NULL-терминатор.

Итоговая длина сформированной строки превышает выделенный размер на 2 байта (одна кавычка и NULL). Это приводит к записи данных за пределы выделенного блока памяти (heap out-of-bounds write). Ошибка срабатывает для всех распознанных литералов, независимо от регистра символов.

Как работает атака​

Атака реализуется через манипуляцию входными данными, которые передаются в метод quote объекта подключения DBI. Механизм атаки не требует прямого доступа к памяти, но зависит от способности атакующего контролировать строку, обрабатываемую функцией quote_float.

1. Атакующий передает строку, содержащую один из специальных литералов (например, Infinity), в метод $dbh->quote с указанием типа DBI::SQL_NUMERIC.
   
2. Внутренняя функция quote_float пытается отформатировать значение.
   
3. Из-за ошибки в расчете размера буфера происходит запись 2 лишних байтов за пределы выделенной области.
   
4. Переполнение может привести к повреждению структур данных Perl-интерпретатора или соседних блоков памяти.
   

Вектор CVSS указывает на сетевой доступ (AV:N) и отсутствие необходимости в аутентификации (PR:N), что предполагает, что уязвимость может быть эксплуатируема через веб-приложения, принимающие пользовательский ввод и передающие его в DBI без должной валидации типов.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости в среде Debian необходимо соблюдение следующих условий:

• Наличие уязвимой версии: Система должна использовать DBD::Pg версии 3.21.0. В официальных репозиториях Debian этот дефект отсутствует, так как установлены более ранние или исправленные версии.
  
• Доступ к методу quote: Атакующий должен иметь возможность вызвать метод $dbh->quote с управляемым значением. Обычно это происходит через веб-интерфейс или API, который принимает данные и пытается их экранировать перед вставкой в SQL.
  
• Тип данных: Передаваемое значение должно быть интерпретировано как DBI::SQL_NUMERIC, чтобы активировать путь выполнения в quote_float.
  
• Контроль строки: Входная строка должна содержать один из специальных литералов (NaN, Inf, Infinity и т.д.), чтобы вызвать переполнение.
  

Возможный сценарий атаки​

Типичный сценарий предполагает наличие Perl-приложения, работающего с PostgreSQL через DBI, которое принимает пользовательский ввод и использует метод quote для формирования SQL-запросов.

1. Пользователь отправляет запрос через веб-интерфейс, содержащий параметр, значение которого равно Infinity.
   
2. Бэкенд-код извлекает это значение и вызывает $dbh->quote($input, DBI::SQL_NUMERIC), полагая, что метод безопасно экранирует данные.
   
3. Функция quote_float обрабатывает строку Infinity.
   
4. Происходит переполнение кучи на 2 байта.
   
5. В зависимости от расположения памяти и настроек Perl-интерпретатора, это может привести к аварийному завершению процесса (Denial of Service) или, в худшем случае, к выполнению произвольного кода, если атакующий сможет контролировать содержимое переполненных байтов.
   

В стандартных установках Debian с официальными пакетами этот сценарий не реализуем, так как используемые версии модуля не содержат дефектного кода.

Есть ли публичный эксплойт​

На момент публикации данных о CVE-2026-78183 публичные эксплойты в виде готовых PoC-скриптов или подтвержденных атак в реальных системах не зафиксированы. Статус CVE в NVD указан как Deferred, что означает, что окончательная верификация и присвоение окончательных метрик могут быть отложены.

Существуют ссылки на коммиты в репозитории проекта и advisory (GHSA-785p-fw3v-r822), которые описывают техническую суть проблемы и предоставляют патч. Однако отсутствие сведений о массовой эксплуатации не означает, что эксплойт невозможен. Ошибка переполнения кучи является серьезным дефектом, который может быть эксплуатируемым при наличии подходящих условий.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-78183 в источниках не раскрыты. Поскольку уязвимость затрагивает локальную обработку данных в Perl-процессе, прямые сетевые сигнатуры могут отсутствовать.

Общие, неспецифичные точки контроля, которые стоит проверить при подозрении на эксплуатацию:

• Логи Perl-приложений на предмет аварийных завершений (segfaults) или ошибок памяти, совпадающих по времени с подозрительными запросами.
  
• Журналы веб-сервера на наличие запросов, содержащих строки Infinity, NaN или Inf в параметрах, которые передаются в числовые поля.
  
• Мониторинг целостности бинарных файлов Perl-скриптов и библиотек, если есть подозрение на выполнение кода.
  

Как обнаружить атаку​

Обнаружение атаки или эксплуатации уязвимости в Debian требует анализа логов приложений, использующих DBD::Pg.

• Логи приложений: Ищите сообщения об ошибках, связанных с нарушением целостности памяти (memory corruption), сегментацией (segmentation fault) или некорректным завершением процессов Perl.
  
• SQL-логи: Если включено логирование SQL-запросов, проверьте наличие аномальных значений, таких как Infinity или NaN, в местах, где ожидаются обычные числа.
  
• Системные логи: Проверьте dmesg или системный журнал на записи об аварийном завершении процессов Perl, если они не были обработаны на уровне приложения.
  

Так как в официальных пакетах Debian уязвимость отсутствует, детектирование в первую очередь направлено на системы, где модуль был установлен вручную из CPAN в уязвимой версии.

Как проверить свою версию​

Для проверки версии установленного пакета libdbd-pg-perl в Debian используйте следующие команды. Замените <имя-пакета> на libdbd-pg-perl.

cat /etc/debian_version
cat /etc/os-release
apt-cache policy libdbd-pg-perl
dpkg-query -W -f='${Package} ${Version}\n' libdbd-pg-perl

Если установленная версия соответствует значениям из раздела «Какие продукты и версии затронуты» (например, 3.16.0-2 для bookworm), система защищена от CVE-2026-78183. Если версия совпадает с 3.21.0, требуется немедленное обновление.

Исправление​

Основным методом устранения уязвимости является обновление пакета libdbd-pg-perl до версии, не содержащей дефектного кода из релиза 3.21.0.

В дистрибутиве Debian все поддерживаемые ветки уже содержат исправленные версии. Для подтверждения актуальности выполните:

apt update
apt upgrade libdbd-pg-perl

Если модуль был установлен из CPAN вручную, обновите его до версии 3.21.1 или выше:

cpanm --upgrade DBD::Pg

Убедитесь, что после обновления приложение перезапускается, чтобы загрузить новую версию библиотеки.

Временные меры защиты​

Если немедленное обновление невозможно, можно применить временные меры для снижения риска:

• Валидация на входе: На уровне приложения убедитесь, что перед вызовом $dbh->quote с типом DBI::SQL_NUMERIC входные данные проходят строгую валидацию. Отклоняйте строки, содержащие NaN, Inf, Infinity и другие специальные литералы, если они не ожидаются.
  
• Использование подготовленных выражений (Prepared Statements): Используйте prepare и execute с параметрами, что позволяет драйверу обрабатывать экранирование более безопасно, хотя в данном случае дефект находится в самом механизме экранирования quote.
  
• Изоляция процессов: Запускайте Perl-скрипты в контейнерах или с ограниченными правами, чтобы ограничить последствия возможного переполнения памяти.
  

Как проверить устранение уязвимости​

После обновления пакета проверьте, что уязвимость устранена:

1. Проверьте версию пакета:
   
   

   dpkg-query -W -f='${Package} ${Version}\n' libdbd-pg-perl

   
   Убедитесь, что версия не является 3.21.0.
   
2. Проведите функциональное тестирование:
   Напишите простой Perl-скрипт, который вызывает $dbh->quote("Infinity", DBI::SQL_NUMERIC). Если скрипт завершается с ошибкой или аварийно, а не возвращает корректно экранированную строку, проблема может сохраняться. В исправленных версиях функция должна корректно обрабатывать эти значения без переполнения памяти.
   
3. Проверьте логи на отсутствие ошибок памяти после перезапуска приложений.
   

Вывод​

CVE-2026-78183 представляет собой критическую уязвимость в Perl-модуле DBD::Pg версии 3.21.0, связанную с переполнением кучи при обработке специальных числовых литералов.

Для пользователей Debian, использующих официальные репозитории, риск минимален, так как все поддерживаемые версии пакета libdbd-pg-perl не содержат данного дефекта.

Администраторам рекомендуется проверить, не были ли модули установлены вручную из CPAN в уязвимой версии, и при необходимости обновить их. При разработке Perl-приложений важно применять строгую валидацию входных данных и использовать подготовленные SQL-выражения для минимизации риска инъекций и ошибок экранирования.

Официальные источники​

1. NVD — CVE-2026-78183
   
2. Debian Security Tracker — CVE-2026-78183
   
3. FIRST EPSS — CVE-2026-78183
   

История обновлений статьи​

• 27.08.2026 — Опубликована первая версия материала.