CVE-2025-22248

Bitnami Pgpool: domyślny dostęp bez uwierzytelnienia przez użytkownika 'repmgr'

CVSS 9.4v4.0pub. 2025-05-13upd. 2025-07-18

Obraz Docker bitnami/pgpool oraz chart Kubernetes bitnami/postgres-ha w domyślnej konfiguracji zawierają użytkownika 'repmgr' skonfigurowanego na poziomie zaufania 'trust', co umożliwia nieuwierzytelniony dostęp do bazy danych PostgreSQL wewnątrz klastra. Podatność jest szczególnie groźna, gdy Pgpool jest eksponowany na zewnątrz środowiska klastrowego.

▸ Pokaż oryginał (EN)

The bitnami/pgpool Docker image, and the bitnami/postgres-ha k8s chart, under default configurations, comes with an 'repmgr' user that allows unauthenticated access to the database inside the cluster. The PGPOOL_SR_CHECK_USER is the user that Pgpool itself uses to perform streaming replication checks against nodes, and should not be at trust level. This allows to log into a PostgreSQL database using the repgmr user without authentication. If Pgpool is exposed externally, a potential attacker could use this user to get access to the service. This is also present within the bitnami/postgres-ha Kubernetes Helm chart.

🤖 Analiza AI

Jak działa

Użytkownik 'repmgr' (PGPOOL_SR_CHECK_USER) jest wykorzystywany przez Pgpool do wykonywania kontroli replikacji strumieniowej między węzłami klastra. W domyślnej konfiguracji konto to działa na poziomie uwierzytelniania 'trust', co oznacza, że połączenie z bazą danych przy użyciu tego użytkownika nie wymaga podania hasła. Atakujący uzyskujący dostęp sieciowy do instancji Pgpool może zalogować się do bazy PostgreSQL jako 'repmgr' bez żadnych danych uwierzytelniających. Problem dotyczy zarówno obrazu Docker bitnami/pgpool, jak i chartu Helm bitnami/postgres-ha dla Kubernetes.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych PostgreSQL działającej wewnątrz klastra, co w przypadku ekspozycji Pgpool na zewnątrz może prowadzić do odczytu, modyfikacji lub usunięcia danych. Ze względu na wysoki wynik CVSS możliwe jest także skompromitowanie zasobów systemowych i sieciowych poza bezpośrednim zakresem bazy danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo należy niezwłocznie zmienić konfigurację uwierzytelniania użytkownika 'repmgr' (PGPOOL_SR_CHECK_USER) z poziomu 'trust' na mechanizm wymagający hasła (np. 'md5' lub 'scram-sha-256') oraz ograniczyć dostęp sieciowy do Pgpool wyłącznie do zaufanych źródeł wewnątrz klastra.

Kogo dotyczy

Obraz Docker bitnami/pgpool oraz chart Kubernetes Helm bitnami/postgres-ha działające w domyślnej konfiguracji; szczegółowe wersje wskazane w referencjach producenta

Uwagi

Podatność sklasyfikowana jako CWE-1188 (Insecure Default Initialization of Resource — domyślna niezabezpieczona inicjalizacja zasobu). Wektor ataku obejmuje dostęp sieciowy w obrębie sieci lokalnej/klastrowej (AV:A), co oznacza podwyższone ryzyko w środowiskach Kubernetes, gdzie ruch wewnątrzklastrowy może być niedostatecznie segmentowany.

CVSS Vector

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X