<sect1 id="release-4-6-1">
<title>リリース 4.6.1</title>
- <note>
- <title>リリース日</title>
- <simpara>2025-05-15</simpara>
- </note>
+ <note>
+ <title>リリース日</title>
+ <simpara>2025-05-15</simpara>
+ </note>
<sect2>
- <title>変更点</title>
- <itemizedlist>
- <listitem>
- <!--
- 2025-05-02 [32dee13dd]
- -->
- <para>
- 設定ファイルにメジャーバージョンを追加しました。 (Bo Peng)
- </para>
- </listitem>
- </itemizedlist>
+ <title>概要</title>
+ <para>
+ このリリースには、セキュリティ修正が含まれています。
+ </para>
+ <para>
+ <productname>Pgpool-II</productname>のクライアント認証メカニズムには認証バイパスの脆弱性があります。
+ 本来であれば認証が必要な場合でも、認証処理がスキップされてしまう可能性があります。
+ この脆弱性を悪用することで、攻撃者が任意のユーザとしてログインし、データベース内の情報を参照・改ざんしたり、データベースを停止させたりすることができる可能性があります。(CVE-2025-46801)
+ </para>
+ <para>
+ なお、本脆弱性の影響を受けるのは、下記のパターン1から3いずれかの条件を満たす場合に限られます。
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ パターン 1：次の条件をすべて満たす場合、本脆弱性の影響を受ける可能性があります。
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ <filename>pool_hba.conf</filename>で<literal>password</literal>認証方式を使用している
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ allow_clear_text_frontend_auth = off
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ <filename>pool_passwd</filename>に対象ユーザのパスワードが設定されていない
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ <filename>pg_hba.conf</filename>で<literal>scram-sha-256</literal>または<literal>md5</literal>認証方式を使用している
+ </para>
+ </listitem>
+ </itemizedlist>
+ </listitem>
+
+ <listitem>
+ <para>
+ パターン 2：次の条件をすべて満たす場合、本脆弱性の影響を受ける可能性があります。
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ enable_pool_hba = off
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ <filename>pg_hba.conf</filename>で<literal>password</literal>、<literal>pam</literal>、<literal>ldap</literal>のいずれかの認証方式を使用している
+ </para>
+ </listitem>
+ </itemizedlist>
+ </listitem>
+
+ <listitem>
+ <para>
+ パターン 3：次の条件をすべて満たす場合、本脆弱性の影響を受ける可能性があります。
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ rawモードを使用している (backend_clustering_mode = 'raw')
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ <filename>pool_hba.conf</filename>で<literal>md5</literal>認証方式を使用している
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ allow_clear_text_frontend_auth = off
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ <filename>pool_passwd</filename>に対象ユーザのパスワードがテキストまたはAES形式で登録されている
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ <filename>pg_hba.conf</filename>で<literal>password</literal>、<literal>pam</literal>、<literal>ldap</literal>のいずれかの認証方式を使用している
+ </para>
+ </listitem>
+ </itemizedlist>
+ </listitem>
+ </itemizedlist>
+ <para>
+ この脆弱性の影響を受けるのは、<productname>Pgpool-II</productname> 4.0系および4.1系のすべてのバージョン、4.2.0-4.2.21、4.3.0-4.3.14、4.4.0-4.4.11、4.5.0-4.5.6、4.6.0です。
+ <productname>Pgpool-II</productname> 4.6.1、4.5.7、4.4.12、4.3.15、4.2.22以降へのアップグレードを強くお勧めします。
+ それができない場合は、発生条件パターンに当てはまらない設定の組み合わせに変更してください。
+ </para>
+ </sect2>
+
+ <sect2>
+ <title>変更点</title>
+ <itemizedlist>
+ <listitem>
+ <!--
+ 2025-05-02 [32dee13dd]
+ -->
+ <para>
+ 設定ファイルにメジャーバージョンを追加しました。 (Bo Peng)
+ </para>
+ </listitem>
+ </itemizedlist>
</sect2>
<sect2>
<sect1 id="release-4-6-1">
<title>Release 4.6.1</title>
- <note>
- <title>Release Date</title>
- <simpara>2025-05-15</simpara>
- </note>
+ <note>
+ <title>Release Date</title>
+ <simpara>2025-05-15</simpara>
+ </note>
+
+ <sect2>
+ <title>Overview</title>
+ <para>
+ This release contains a security fix.
+ </para>
+ <para>
+ An authentication bypass vulnerability exists in the client authentication
+ mechanism of <productname>Pgpool-II</productname>.
+ In <productname>Pgpool-II</productname>, authentication may be bypassed even
+ when it is supposed to be enforced. As a result, an attacker could log in as
+ any user, potentially leading to information disclosure, data tampering, or
+ even a complete shutdown of the database. (CVE-2025-46801)
+ </para>
+ <para>
+ This vulnerability affects systems where the authentication configuration
+ matches one of the following patterns:
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ Pattern 1: This vulnerability occurs when all of the following conditions are met:
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ The <literal>password</literal> authentication method is used in
+ <filename>pool_hba.conf</filename>
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ allow_clear_text_frontend_auth = off
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ The user's password is not set in <filename>pool_passwd</filename>
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ The <literal>scram-sha-256</literal> or <literal>md5</literal> authentication
+ method is used in <filename>pg_hba.conf</filename>
+ </para>
+ </listitem>
+ </itemizedlist>
+ </listitem>
+
+ <listitem>
+ <para>
+ Pattern 2: This vulnerability occurs when all of the following conditions are met:
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ enable_pool_hba = off
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ One of the following authentication methods is used in pg_hba.conf:
+ <literal>password</literal>, <literal>pam</literal>, or <literal>ldap</literal>
+ </para>
+ </listitem>
+ </itemizedlist>
+ </listitem>
+
+ <listitem>
+ <para>
+ Pattern 3: This vulnerability occurs when all of the following conditions are met:
+ </para>
+ <itemizedlist>
+ <listitem>
+ <para>
+ Raw mode is used (backend_clustering_mode = 'raw')
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ The <literal>md5</literal> authentication method is used in
+ <filename>pool_hba.conf</filename>
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ allow_clear_text_frontend_auth = off
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ The user's password is registered in <filename>pool_passwd</filename> in plain
+ text or AES format
+ </para>
+ </listitem>
+ <listitem>
+ <para>
+ One of the following authentication methods is used in
+ <filename>pg_hba.conf</filename>:
+ <literal>password</literal>, <literal>pam</literal>, or <literal>ldap</literal>
+ </para>
+ </listitem>
+ </itemizedlist>
+ </listitem>
+ </itemizedlist>
+ <para>
+ All versions of Pgpool-II 4.0 and 4.1 series, 4.2.0 to 4.2.21, 4.3.0 to 4.3.14,
+ 4.4.0 to 4.4.11, 4.5.0 to 4.5.6 and 4.6.0 are affected by this vulnerability.
+ It is strongly recommended to upgrade to <productname>Pgpool-II</productname>
+ 4.6.1, 4.5.7, 4.4.12, 4.3.15 and 4.2.22 or later.
+ Alternatively, you can modify your settings so that they do not match any of
+ the vulnerable configuration patterns.
+ </para>
+ </sect2>
<sect2>
<title>Changes</title>
projects / pgpool2.git / commitdiff