pgjdbc SCRAM Auth Silent Downgrade Vulnerability (GHSA-j92g-9fbw-1657) and Fix

漏洞概述 在 驱动中，当无法从服务器证书派生通道绑定哈希时，驱动会静默降级到非-PLUS SCRAM 机制。例如，使用 ECDH 证书（其签名算法没有关联哈希，如 RFC 5280 中的 tls-server-end-point）时， 返回空数组。在这种情况下，SCRAM 客户端会将其视为“无通道绑定可用”，并协商一个裸机制。 影响范围 受影响版本： 驱动在特定条件下（如使用 ECDH 证书）可能会静默降级到非-PLUS SCRAM 机制。 潜在风险：这种降级可能导致安全机制的减弱，因为非-PLUS SCRAM 机制可能不如 PLUS 机制安全。 修复方案 1. 强制通道绑定：在 端，强制要求通道绑定，保持现有的 3.2 依赖（无 或 ，这些是 3.3+ 的特性）。 2. 失败处理：当无法派生绑定哈希时，失败并返回一条消息，指出证书签名算法和修复措施，而不是返回空数组。 3. 机制选择：在协商后，要求所选机制实际上使用通道绑定（isPlus）。这是权威保证：无论协商如何，要求从不通过非-PLUS 机制连接。 4. 早期拒绝：现有的 检查仍然在服务器提供非-PLUS 机制时早期拒绝。 POC 代码 以下是相关的 POC 代码： 总结 该漏洞涉及 驱动在特定条件下静默降级到非-PLUS SCRAM 机制的问题。修复方案包括强制通道绑定、失败处理、机制选择以及早期拒绝非-PLUS 机制。提供的 POC 代码展示了如何在测试中验证这一修复。

目標達成すべての支援者に感謝 — 100%達成しました！

pgjdbc SCRAM Auth Silent Downgrade Vulnerability (GHSA-j92g-9fbw-1657) and Fix

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

pgjdbc SCRAM Auth Silent Downgrade Vulnerability (GHSA-j92g-9fbw-1657) and Fix

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！