مدونة سكاي لاين

تنبيه أمني ديبيان

تحديث مايو 2026 الأمني لـ PostgreSQL 17.10 و15.18 على ديبيان (DSA-6270-1 وDSA-6269-1)

عالجت تحديثات ديبيان لـ PostgreSQL في مايو 2026 ثغرات حقن SQL وتنفيذ تعليمات برمجية وحجب خدمة. ما الذي تغيّر، مع إصلاحات فبراير.

تاريخ النشر
مدة القراءة
5 دقائق
الكاتب
SKYLINE Engineering

تنبيه أمني ثغرة أمنية

الخطورة: عالية الحالة: تم التصحيح
معرّفات CVE
الحالة
تتوفر نسخ مصحّحة لـ دبيان 13 (trixie) ودبيان 12 (bookworm).
المتأثر
  • حزمة postgresql-17 في دبيان 13 (trixie) قبل الإصدار 17.10-0+deb13u1
  • حزمة postgresql-15 في دبيان 12 (bookworm) قبل الإصدار 15.18-0+deb12u1
  • حزمة postgresql-17 في دبيان 13 (trixie) قبل الإصدار 17.8-0+deb13u1
  • حزمة postgresql-15 في دبيان 12 (bookworm) قبل الإصدار 15.16-0+deb12u1
تاريخ النشر
آخر تحديث

ما الذي يجب عليك فعله

  • شغّل apt policy على كل خادم وكل جهاز عميل يحمل حزم PostgreSQL.
  • رقِّ إلى حزمة ديبيان الحالية، فهي تتضمن إصلاحات فبراير ومايو.
  • تأكد من الإصدار العامل بالاستعلام SELECT version(); وأعد تشغيل الخدمات التي تستخدم libpq5.
  • لا تأخذ نسخًا أساسية أو تنفّذ pg_rewind إلا من خوادم تثق بمستخدمي superuser عليها.
  • اقصر الوصول إلى PostgreSQL عبر TCP على الأجهزة التي تحتاجه فعلًا.
التسلسل الزمني
  1. نشرت دبيان التحذير الأمني DSA-6133-1 لحزمة postgresql-17.
  2. نشرت دبيان التحذير الأمني DSA-6132-1 لحزمة postgresql-15.
  3. نشرت دبيان التحذير الأمني DSA-6270-1 لحزمة postgresql-17.
  4. نشرت دبيان التحذير الأمني DSA-6269-1 لحزمة postgresql-15.
  5. نشرت سكايلاين هذا الملخص.

نشرت ديبيان في 14 مايو 2026 النشرة DSA-6270-1 للحزمة postgresql-17 في ديبيان 13 (trixie)، والنشرة DSA-6269-1 للحزمة postgresql-15 في ديبيان 12 (bookworm). نقل التحديث ديبيان إلى الإصدارين 17.10 و15.18، وفيهما إصلاح ما يصل إلى عشر ثغرات في الخادم وإحدى الوحدات الإضافية ومكتبة libpq وأدوات النسخ الاحتياطي. تشرح هذه الصفحة تلك الإصلاحات وتحديث فبراير 2026 الذي سبقها، علمًا بأن إصدار أغسطس 2026 جاء لاحقًا وبنى عليهما.

لمحة سريعة

البندالتفاصيل
الحزم المصدريةpostgresql-17 (ديبيان 13)، postgresql-15 (ديبيان 12)
الإصدارات المُصلَحة (مايو)17.10-0+deb13u1 (DSA-6270-1)، 15.18-0+deb12u1 (DSA-6269-1)
الإصدارات المُصلَحة (فبراير)17.8-0+deb13u1 (DSA-6133-1)، 15.16-0+deb12u1 (DSA-6132-1)
الثغرات (مايو)10 للإصدار 17 و8 للإصدار 15، منها CVE-2026-6637 وCVE-2026-6477 وCVE-2026-6479
الخطورةعالية (أعلى تقييم من PostgreSQL هو CVSS 3.1 8.8)
الاستغلال الفعليلا يوجد أي منها في قائمة CISA KEV (إصدار 30 أكتوبر 2026)

ما هي الثغرات

تصف ديبيان ثغرات مايو بأنها قد تؤدي إلى تجاوز التفويض، أو تنفيذ تعليمات برمجية عشوائية، أو كشف معلومات، أو رفع الصلاحيات، أو حقن SQL، أو حجب الخدمة. وقد عالج إصدار PostgreSQL بتاريخ 14 مايو 2026 (الإصدارات 18.4 و17.10 و16.14 و15.18 و14.23) إحدى عشرة ثغرة وأكثر من 60 خطأ. وأهمها لخادم معتاد:

  • تنفيذ تعليمات برمجية داخل خادم قاعدة البيانات. الثغرة CVE-2026-6637 فيض في ذاكرة المكدس مع حقن SQL في الوحدة الإضافية refint، وقد تسمح لمستخدم بلا صلاحيات خاصة بتنفيذ تعليمات برمجية بصلاحيات مستخدم النظام الذي يشغّل PostgreSQL. أما CVE-2026-6473 فتتعلق بالتفاف الأعداد الصحيحة عند حساب أحجام الذاكرة. وكلتاهما بتقييم 8.8.
  • حجب الخدمة قبل تسجيل الدخول. الثغرة CVE-2026-6479 (بتقييم 7.5) تكرار غير محدود أثناء التفاوض على SSL وGSS. ويذكر سجل CVE أن من يستطيع الاتصال بمقبس يونكس المحلي يمكنه إحداث حجب خدمة مستمر، وأن الأمر ممكن عبر TCP إذا كان SSL وGSS معطّلين معًا.
  • خادم خبيث في مواجهة أدوات العميل. تسمح CVE-2026-6477 لمستخدم superuser على الخادم بالكتابة فوق ذاكرة المكدس لدى العميل عبر دوال الكائنات الكبيرة في libpq، وتسمح CVE-2026-6475 لمستخدم superuser على الخادم المصدر بجعل pg_basebackup (بالتنسيق plain) أو pg_rewind يكتب فوق ملفات محلية. وكلتاهما بتقييم 8.8، وتهمّان عند الاتصال بخادم لا تتحكم فيه بالكامل أو النسخ منه.
  • ثغرات أقل خطورة. قناة توقيت جانبية قد تكشف كلمات المرور المجزأة بخوارزمية MD5 (CVE-2026-6478، بتقييم 6.5)، وغياب فحص صلاحية في CREATE TYPE (CVE-2026-6472)، وكشف جزء من الذاكرة عبر timeofday() (CVE-2026-6474). وهناك ثغرتان تخصان الإصدار 17 فقط: CVE-2026-6476 في pg_createsubscriber وCVE-2026-6638 في REFRESH PUBLICATION.

أما نشرتا فبراير 2026 (DSA-6133-1 وDSA-6132-1 بتاريخ 12 فبراير) فعالجتا أربع ثغرات قالت ديبيان إنها قد تؤدي إلى كشف محتوى الذاكرة أو تنفيذ تعليمات برمجية، منها CVE-2026-2006 (التحقق من طول الأحرف متعددة البايت، بتقييم 8.8) وCVE-2026-2005 (فيض في ذاكرة الكومة في pgcrypto، بتقييم 8.8). ولا توجد أي ثغرة مذكورة هنا في قائمة CISA للثغرات المستغلة فعليًا.

هل أنت متأثر؟

كل خادم ديبيان 13 بإصدار أقدم من 17.10-0+deb13u1، وكل خادم ديبيان 12 بإصدار أقدم من 15.18-0+deb12u1، ينقصه هذا الإصلاح. افحص حزم الخادم والعميل والمكتبة:

dpkg -l 'postgresql*' libpq5 | grep '^ii'
apt policy postgresql-17 libpq5   # Debian 13
apt policy postgresql-15 libpq5   # Debian 12

ولأن CVE-2026-6477 وCVE-2026-6475 موجودتان في libpq وأدوات النسخ الاحتياطي، فالأجهزة التي تشغّل pg_basebackup أو pg_rewind فقط، أو التطبيقات المرتبطة بـ libpq5، تحتاج التحديث أيضًا.

طريقة التحديث

يحتوي أرشيف ديبيان الآن على حزم أحدث تتضمن كل هذه الإصلاحات، لذا تكفي الترقية المعتادة:

sudo apt update
sudo apt upgrade

ومنذ أغسطس 2026 أصبحت الحزمة الحالية هي 17.11 على trixie (النشرة DSA-6438-1)، و15.19 على bookworm عبر نشرة دعم طويل الأمد (DLA-4740-1)، لأن الدعم الاعتيادي لديبيان 12 انتهى في يوليو 2026. ويطلب إصدار أغسطس من بعض المستخدمين ضبط إعداد جديد هو output_plugin_libraries، فاقرأ ملاحظاته قبل ترقية أي بيئة نسخ متماثل.

إعادة تشغيل الخدمة أم الخادم؟

لا حاجة لإعادة تشغيل الخادم. تأكد بعد الترقية أن كل عنقود يعمل بالملفات الجديدة:

pg_lsclusters
sudo -u postgres psql -c 'SELECT version();'

أعد تشغيل أي عنقود ما زال يعرض إصدارًا قديمًا بالأمر sudo systemctl restart postgresql@17-main (عدّل الإصدار والاسم)، وأعد تشغيل خدمات التطبيقات التي تحمّل libpq5؛ والأمر sudo needrestart يعرضها. ولا تذكر ملاحظات الإصدارين 17.10 و15.18 خطوات إضافية بعد التحديث لمن يرقّي من 17.6 أو 15.14 أو أحدث.

المصادر

المواضيع

SKYLINE Engineering

@skyline

The engineering team at SKYLINE Industrial Solutions. We publish field-tested guides drawn from real KSA and GCC deployments.

صفحة الكاتب
المزيد في ديبيان

ذات صلة: أدلة Skyline Nexus ERP

قاعدة معرفة Nexus ←
Skyline Nexus ERP

أدلة الضرائب والفوترة الإلكترونية في الخليج والشرق الأوسط

ضريبة القيمة المضافة، الفوترة الإلكترونية (زاتكا) وضريبة الشركات للسعودية والإمارات ودول الخليج.

 Skyline Nexus ERP

Skyline Nexus ERP — محاسبة سحابية وفوترة زاتكا الإلكترونية

نظام ERP سحابي من سكاي لاين: المحاسبة والفوترة والمخزون ونقاط البيع. الشهر الأول مجانًا.
SKYLINE engineering services

Need this implemented for you?

Reading is free — building it right takes a team. SKYLINE engineers ship Debian for Aramco vendors, banks, hospitals and government agencies across Saudi Arabia. Talk to us before you start.

Server Infrastructure Dell, HPE, Huawei, VMware, Hyper-V, HCI IT AMC Annual maintenance, 24/7 SLA, Bronze→Platinum
Talk to a SKYLINE engineer Call +966 50 993 9334
Aramco Approved Contractor ISO 9001 · ISO 27001 SAMA CSF aligned NCA ECC ready 247+ KSA clients

Comments

0 total · 0 threads
Be the first to leave a comment.