作者 akihi白帽攻防录讲师某甲方网络安全工程师合合 SRC 年度第一、腾讯 SRC 连续三年前十单漏洞赏金 4w擅长 Web/App/PC 客户端漏洞挖掘。专注数据库安全、PostgreSQL 扩展审计、栈溢出漏洞利用。本文基于公开 CVE 信息与技术原理深度复盘供安全研究与防护参考。一、漏洞时间线2026 年 5 月PostgreSQL 社区发布了一系列安全更新修复了多个严重漏洞。其中最引人注目的是 CVE-2026-6637——refint 模块的栈缓冲区溢出漏洞。这个漏洞让一个普通的数据库用户——不需要任何管理员权限——就能在数据库服务器上执行任意操作系统代码。时间事件影响版本2026-05-14PostgreSQL 发布安全更新14.23 / 15.18 / 16.14 / 17.10 / 18.42026-05-19安全媒体公开技术分析——2026-05-22各大 Linux 发行版推送补丁Ubuntu / RHEL / Debian2026-06-02IBM Guardium 推送检测规则——2026-09-18PostgreSQL 官网更新漏洞详情——这个漏洞最可怕的地方在于它不是数据库本身的漏洞而是一个 contrib 扩展模块——refint。refint 是用来实现外键约束级联更新的模块很多企业数据库都启用了。但就是这个看起来很普通的扩展里面藏着一个栈缓冲区溢出能让普通用户直接拿到数据库进程的操作系统权限。二、攻击链全景让我们先用一张流程图还原完整的攻击路径攻击者获得数据库普通用户账号 │ ▼ 第一步环境探测 │ 攻击者用普通账号登录数据库 │ 检查 │ - PostgreSQL 版本 │ - 有没有启用 refint 模块 │ - 能不能创建表和外键约束 │ │ 关键条件 │ - 数据库版本低于修复版本 │ - refint 模块被加载 │ - 用户有创建表的权限 ▼ 第二步构造恶意表结构 │ 攻击者创建两张表 │ - 主表有主键 │ - 从表有外键引用主表 │ 外键约束用 refint 函数 │ │ 关键 │ 外键约束配置成 │ ON UPDATE CASCADE │ │ 意思是 │ 主表主键更新时 │ 从表外键自动跟着更新 ▼ 第三步触发栈溢出 │ 攻击者更新主表的主键 │ 主键值设成超长字符串 │ │ refint 模块处理级联更新时 │ - 把主键值复制到栈缓冲区 │ - 没有检查长度 │ - 超长就溢出了 │ │ 溢出覆盖了栈上的 │ - 返回地址 │ - 函数指针 │ - 其他栈数据 ▼ 第四步控制程序执行流 │ 攻击者精心构造溢出数据 │ - 覆盖返回地址 │ - 指向 shellcode │ - 或者 ROP 链 │ │ 当函数返回时 │ 程序跳到攻击者指定的地址 │ 执行任意代码 ▼ 第五步获得 OS 权限 │ 代码以数据库进程的身份运行 │ PostgreSQL 通常以 postgres 用户运行 │ │ 攻击者能做 │ - 读取数据库所有数据 │ - 修改数据库配置 │ - 读写服务器文件 │ - 横向移动到其他服务 ▼ 攻击者完全控制数据库服务器 │ ├─ 读取所有业务数据 ├─ 修改数据库配置 ├─ 写入 WebShell └─ 横向移动到内网关键结论这个漏洞的本质是扩展模块安全审计不足——PostgreSQL 核心代码经过多年安全审计但 contrib 扩展模块里藏着很多安全问题。在企业数据库环境中很多扩展都是默认安装或长期运行的很少有人审计它们的代码。这就是为什么数据库安全不能只看核心还要看所有加载的扩展。三、PostgreSQL 与 refint 模块原理3.1 什么是 PostgreSQLPostgreSQL 是最流行的开源关系型数据库之一组件功能PostgreSQL Core核心数据库引擎contrib 模块官方扩展包refint外键约束级联更新外键约束保证数据引用完整性级联更新主表更新时从表自动更新3.2 什么是 refint 模块refint 是 PostgreSQL 的 contrib 模块// refint 模块是干什么的 // 数据库里的外键约束 // - 从表的外键 // 必须引用主表的主键 // - 保证数据一致性 // - 不能有孤立记录 // 级联更新ON UPDATE CASCADE // - 当主表主键更新时 // - 从表的外键自动跟着更新 // - 这样就不会破坏引用关系 // refint 模块 // - 这个级联更新的逻辑 // 是在 refint 模块里实现的 // - 它是一个 C 写的扩展 // - 在数据库进程内运行 // // 问题在哪里 // - refint 处理外键值时 // - 用栈缓冲区存数据 // - 没有检查长度 // - 超长就溢出了3.3 什么是栈缓冲区溢出这是经典的内存安全漏洞// 栈缓冲区溢出是什么 // 程序在栈上分配缓冲区 char buf[256]; // 256 字节的栈缓冲区 // 然后把数据复制进去 strcpy(buf, user_input); // 不检查长度 // 如果 user_input 超过 256 字节 // - 就会溢出 buf // - 覆盖栈上的其他数据 // - 包括返回地址 // // 攻击者精心构造 user_input // - 前面填满 256 字节 // - 后面覆盖返回地址 // - 返回地址指向 shellcode // // 函数返回时 // - 跳到 shellcode // - 执行任意代码四、漏洞深度分析4.1 漏洞根因未检查长度根据 PostgreSQL 官方公告漏洞的根本原因是 refint 模块处理数据时不检查长度// 有缺陷的逻辑伪代码 // refint 模块处理级联更新 // 1. 收到主键更新请求 // 2. 拿到新的主键值 // 3. 在栈上分配缓冲区 // 4. 把主键值复制到缓冲区 // 5. 用这个值更新从表 // 问题在哪里 // // 步骤 4 应该 // - 检查主键值长度 // - 超过缓冲区大小就报错 // // 但实际代码 // - 直接复制 // - 不检查长度 // - 超长就溢出 // // 修复方式 // - 加长度检查 // - 或者用动态分配的缓冲区 // - 而不是固定大小的栈缓冲区4.2 第二个攻击向量SQL 注入除了栈溢出这个漏洞还有第二个攻击向量// SQL 注入攻击向量 // 场景 // - 应用把用户可控的列 // 声明为 refint 级联主键 // - 用户可以更新这个列 // // 攻击过程 // 1. 用户更新主键列 // 2. 值里带恶意 SQL // 3. refint 模块处理时 // 把这个值拼到 SQL 里 // 4. 执行恶意 SQL // // 权限是什么 // - 是执行主键更新的数据库用户 // - 可能是高权限用户 // - 比如应用连接的数据库账号 // // 这就是第二个攻击面 // - 不是栈溢出 // - 是 SQL 注入 // - 能执行任意 SQL4.3 完整攻击链从普通数据库用户到 OS 权限// 完整攻击步骤 // 前置条件 // - 攻击者有普通数据库用户账号 // - 数据库启用了 refint 模块 // - 数据库版本低于修复版本 // 第一步环境探测 // - 连接数据库 // - 检查版本SELECT version(); // - 检查扩展SELECT * FROM pg_extension; // - 检查权限能不能创建表 // 第二步创建恶意表 // - 创建主表CREATE TABLE parent (...) // - 创建从表CREATE TABLE child (...) // - 加外键约束FOREIGN KEY (...) REFERENCES parent(...) ON UPDATE CASCADE // - 关联 refint 函数 // 第三步触发栈溢出 // - UPDATE parent SET id 超长字符串...; // - 超长字符串里精心构造 // - 覆盖返回地址 // - 指向 shellcode // 第四步获得 OS 权限 // - shellcode 执行 // - 以 postgres 用户身份 // - 操作系统命令 // 或者 // - 走 SQL 注入向量 // - 执行 COPY ... TO PROGRAM // - 直接执行系统命令4.4 影响范围项目详情CVE 编号CVE-2026-6637漏洞类型栈缓冲区溢出 / SQL 注入影响产品PostgreSQL refint 模块影响版本14.23 之前 / 15.18 之前 / 16.14 之前 / 17.10 之前 / 18.4 之前发现者PostgreSQL 安全团队利用条件普通数据库用户账号 能创建表用户交互不需要CVSS 评分高公开 PoC暂无公开 PoC影响数据库进程 OS 权限 RCE五、修复方案分析PostgreSQL 在 2026 年 5 月安全更新中修复了这个问题修复项修复方式栈溢出refint 模块加长度检查SQL 注入参数化查询不拼接用户输入缓冲区管理改用动态分配不用固定栈缓冲区5.1 数据库扩展安全原则// 数据库扩展安全原则 // 1. 最小化扩展 // 不要安装不需要的扩展 // 每个扩展都是攻击面 // 2. 及时更新 // 扩展也要及时打补丁 // 不要只更新核心 // 3. 安全审计 // 重要的扩展 // 要做代码安全审计 // 4. 权限控制 // 普通用户不要给太多权限 // 不要让普通用户创建表 // 5. 监控异常 // 监控异常的 SQL 语句 // 监控数据库进程崩溃5.2 数据库安全最佳实践// 数据库安全检查清单 // 1. 及时打补丁 // PostgreSQL 定期发布安全更新 // 要及时安装 // 2. 最小权限 // 应用账号不要用超级用户 // 按业务需要授权 // 3. 限制扩展 // 只安装必要的扩展 // 定期审查 pg_extension // 4. 网络隔离 // 数据库不要暴露在公网 // 用防火墙限制访问 // 5. 审计日志 // 开启数据库审计日志 // 记录所有 DDL 和敏感 DML // 6. 定期渗透测试 // 定期测试数据库安全 // 发现并修复配置问题六、SRC 审计启示录6.1 数据库安全审计清单在 SRC 挖洞过程中针对数据库的审计清单#检查项检测方法1数据库版本有没有漏洞查版本号对照 CVE 列表2有没有危险的扩展查 pg_extension看有没有 contrib 扩展3普通用户有没有过多权限查角色权限能不能创建表/函数4有没有危险的配置查 postgresql.conf比如 allow_system_table_mods5有没有 SQL 注入点测试应用输入点6.2 常见数据库漏洞类型// 常见的数据库漏洞 // 1. 扩展模块漏洞 // 比如 refint 这种 // contrib 扩展里的内存安全问题 // 2. 权限配置错误 // 普通用户有超级用户权限 // 或者能创建危险函数 // 3. SQL 注入 // 应用层的 SQL 注入 // 能执行任意 SQL // 4. 认证绕过 // 数据库认证逻辑的问题 // 不需要密码就能登录 // 5. 信息泄露 // 数据库错误信息泄露敏感信息 // 或者日志里有敏感数据6.3 暴露面分级暴露级别情况风险严重普通用户能 RCE数据库服务器被攻破高普通用户能读所有数据数据泄露中特定用户能提权有限权限提升低信息泄露辅助攻击七、防护建议及时打补丁升级到 PostgreSQL 18.4 / 17.10 / 16.14 / 15.18 / 14.23 或更高版本限制扩展只安装必要的扩展定期审查 pg_extension最小权限普通用户不要给创建表/函数的权限监控异常 SQL监控异常的 DDL 语句和超长输入定期渗透测试测试数据库配置和扩展安全性网络隔离数据库不要暴露在公网用防火墙限制访问八、总结CVE-2026-6637 是 PostgreSQL 扩展模块安全的一个经典案例数据库核心经过多年安全审计但 contrib 扩展里藏着很多内存安全问题。在企业数据库环境中很多扩展都是长期运行的很少有人审计它们的代码。理解数据库扩展安全、内存破坏漏洞、数据库提权路径是做数据库安全的基本功。在 SRC 挖洞实践中数据库安全是高价值方向——一个能拿服务器权限的数据库漏洞对企业来说价值极高。