CVE-2026-44477: Krytyczna luka w CloudNativePG umożliwiająca eskalację uprawnień

Co wiadomo

CloudNativePG, platforma do zarządzania bazami PostgreSQL w Kubernetes, zawiera krytyczną lukę w wersjach przed 1.29.1 i 1.28.3. Luka pozwala na odzyskanie uprawnień superużytkownika i uruchomienie procesów systemowych z poziomu bazy danych, mimo ograniczeń roli pg_monitor.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do eskalacji uprawnień do poziomu superużytkownika PostgreSQL i uruchomienia procesów systemowych na poziomie systemu operacyjnego w głównym podzie. Może to prowadzić do pełnego przejęcia kontroli nad środowiskiem Kubernetes, w którym działa CloudNativePG, co stanowi poważne zagrożenie dla bezpieczeństwa i integralności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie CloudNativePG do wersji 1.29.1 lub 1.28.3, gdzie luka została załatana. W przypadku niemożności natychmiastowej aktualizacji, ogranicz dostęp do metryk i monitoringu, przeprowadź przegląd logów pod kątem podejrzanych aktywności oraz zweryfikuj uprawnienia użytkowników. Priorytetyzuj wdrożenie poprawek i monitoruj środowisko pod kątem potencjalnych prób wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference