CVE-2026-116244: Bypass Autenticazione Kerberos in pgAdmin 4

pgAdmin 4: bypass autenticazione Kerberos. Utenti possono impersonare l'account di servizio in server mode.

CVE-2026-116244 è una vulnerabilità di autenticazione in pgAdmin 4 server mode. Quando una connessione Kerberos non era configurata per delegare credenziali, pgAdmin rimuoveva KRB5CCNAME dall'ambiente. libpq ricadeva sul ticket Kerberos dell'account di servizio pgAdmin. Qualsiasi utente poteva così connettersi come principal Kerberos dell'account di servizio, ottenendo accesso completo ai dati e privilegi associati.

CVSS 8,2 (high). Pubblicato il 30 ottobre 2026 su NVD. Proof of concept e lab containerizzato su GitHub il 31 ottobre, confermando la riproducibilità. Su Windows, la stessa falla interessa SSPI. Il disabilitamento di gssencmode non offriva protezione.

Aggiornare subito pgAdmin 4 a v9.19+. Se impossibile, configurare require_auth=!gss,!sspi e gssencmode=disable su tutte le connessioni. Esaminare i log di PostgreSQL per accessi anomali come account di servizio. In ambienti Kerberos, revisionare immediatamente password/keytab dell'account di servizio pgAdmin.

In sintesi

Cosa: In pgAdmin 4 modalità server, quando una connessione Kerberos non era prevista per delegare credenziali, pgAdmin rimuoveva KRB5CCNAME dall'ambiente. libpq rispondeva alle richieste GSSAPI del server con il ticket dell'account di servizio pgAdmin, indipendentemente dal nome utente fornito. Qualsiasi utente poteva così connettersi come principal Kerberos dell'account di servizio. Su Windows, lo stesso accadeva con SSPI.
Gravità: CVSS 8,2 (high). Colpisce l'autenticazione nel core: accesso non autorizzato con privilegi dell'account di servizio in server mode.
Versioni interessate: pgAdmin 4 prima della versione 9.19
Correzione: Aggiornare a pgAdmin 4 versione 9.19 o successive. La patch indirizza KRB5CCNAME e KRB5_CLIENT_KTNAME a file inesistenti al di fuori di connessioni Kerberos autenticate, e applica require_auth=!gss,!sspi e gssencmode=disable su tutte le altre connessioni.
Stato: Pubblicato NVD il 30 ottobre 2026. Proof of concept e lab containerizzato disponibili in repository GitHub dal 31 ottobre. Fix confermato in versione 9.19.
Azione: 1) Aggiornare immediatamente pgAdmin 4 a v9.19+. 2) Se aggiornamento non possibile, disabilitare autenticazione GSSAPI/SSPI (require_auth=!gss,!sspi e gssencmode=disable). 3) Verificare accessi anomali come account di servizio negli ultimi mesi nei log di PostgreSQL. 4) In ambienti Kerberos, revisionare immediatamente credenziali dell'account di servizio pgAdmin.

Fonti: NVD, CVE-2026-116244

← Tutti gli articoli