PostgreSQL 近期發布安全性更新，修復了一個存在長達 12 年之久的嚴重漏洞 CVE-2026-6471。該漏洞允許擁有 REPLICATION 屬性的帳號，在特定配置下能以執行資料庫伺服器的作業系統用戶權限，在伺服器上執行任意程式碼。此問題被 Cyera Research 命名為 PostGREShell，其影響範圍涵蓋了從 2014 年引入邏輯解碼功能起的所有版本，直到最新的 18.6、17.11、16.15、15.19 與 14.24 版本之前均受影響。
背景與漏洞成因
要理解此漏洞，首先需認識邏輯解碼（Logical Decoding）與 REPLICATION 屬性。邏輯解碼是 PostgreSQL 用於將寫前日誌（WAL, Write Ahead Log）中的變更轉換為可讀格式的功能，常用於變更資料擷取（CDC）管道、備份工具或同步備援伺服器。而 REPLICATION 屬性則是賦予特定帳號執行複製操作的權限。在許多企業環境中，備份系統或監控工具通常被授予此權限。
漏洞的核心在於 PostgreSQL 在處理邏輯解碼輸出插件（Output Plugin）的載入路徑時，缺乏足夠的驗證。當使用者透過 CREATE_REPLICATION_SLOT 指令指定插件名稱時，系統會直接將該名稱傳遞給載入函式庫的函數。雖然 PostgreSQL 對於一般非超級使用者的插件路徑有嚴格限制，但這套限制機制在複製路徑（Replication Path）中被完全跳過。
攻擊路徑與運作方式
攻擊者若擁有 REPLICATION 權限，且伺服器設定為 wal_level = logical，即可利用此缺陷。由於複製協定（Replication Protocol）的解析器允許在雙引號內使用幾乎任何字元，包括路徑分隔符號與 ../ 這種目錄遍歷（Directory Traversal）技巧，攻擊者可以直接提供一個完整的檔案系統路徑來欺騙載入器。
在不同作業系統上的攻擊手法略有不同。在 Windows 環境下，伺服器能解析透過 SMB（Server Message Block，一種網路檔案共享協定）傳輸的網路路徑，這意味著攻擊者無需將惡意檔案寫入目標伺服器硬碟，直接從遠端機器載入惡意函式庫即可。在 Linux 或 macOS 上，若啟用了 NFS（Network File System）自動掛載，也能達成類似效果；否則攻擊者必須先透過其他手段將惡意檔案寫入伺服器磁碟。
一旦惡意程式碼被載入，它將在資料庫後端進程中以 postgres 作業系統用戶的身分執行。Cyera Research 的測試證明，攻擊者可以藉此直接修改角色目錄（Role Catalog），將原本權限較低的複製帳號提升為 PostgreSQL 超級使用者，並建立多種持久化機制以確保伺服器重啟後依然保有控制權。
修復方案與實務限制
PostgreSQL 全球開發小組在更新中引入了一個新的伺服器參數 output_plugin_libraries。該參數採取白名單機制，明確定義哪些函式庫可以被載入為邏輯解碼輸出插件，預設值為 pgoutput 與 test_decoding。
然而，這種修復方式帶來了相容性挑戰。許多第三方插件如 wal2json 或 decoderbufs 並不在預設白名單中。如果管理員直接更新版本而未調整設定，原本依賴這些插件的邏輯解碼功能將會失效。開發團隊表示，之所以不直接套用現有的 LOAD 限制，是因為若強行要求所有第三方插件必須安裝在特定的 $libdir/plugins 目錄下，將會導致大量既有環境崩潰。
對於管理員而言，建議在更新前先執行 SQL 查詢以確認目前系統中實際使用的插件名稱，更新後再將這些名稱加入 output_plugin_libraries 設定中，並執行 pg_reload_conf() 重新載入設定。
影響評估與緩解建議
儘管此漏洞的 CVSS 評分為 7.2，但對於權限要求的認定存在分歧。PostgreSQL 官方將其標記為高權限要求（Privileges Required: High），因為攻擊者必須先取得 REPLICATION 權限。但安全研究人員認為，由於許多備份帳號被視為低權限憑據，此漏洞的實質風險可能更高。
在無法立即更新伺服器的情況下，建議採取以下緩解措施：首先，移除不必要帳號的 REPLICATION 屬性；其次，在 pg_hba.conf 設定檔中將複製連線限制在可信的 IP 地址；最後，從網路層級阻斷資料庫伺服器對外的 SMB（Port 445）與 NFS（Port 2049）流量，並停用不必要的 autofs 自動掛載服務。
值得注意的是，此漏洞的修復仍存在小範圍的漏洞。例如 pg_createsubscriber 指令在建立複製槽時會直接使用 pgoutput 而未檢查新參數，導致在某些遷移場景下會出現 dry-run 成功但實際轉換失敗的異常現象，相關補丁目前仍在審核中。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。