High WID-SEC-2025-0842 1 CVE

PgBouncer: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen

Published Apr 16, 2025 · Updated May 26, 2025 · Revision 2 · de-DE

Vendor: Debian Product: Linux Platform: Linux Platform: Windows

Summary

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in PgBouncer ausnutzen, um Sicherheitsvorkehrungen zu umgehen.

Product

PgBouncer ist ein leichtgewichtiger Connection-Pooler für PostgreSQL

Vulnerabilities 1

High 8.1

CVE-2025-2291

PgBouncer default auth_query does not take Postgres password expiry into account

Password can be used past expiry in PgBouncer due to auth_query not taking into account Postgres its VALID UNTIL value, which allows an attacker to log in with an already expired password

pgbouncer pgbouncer pgbouncer Debian Ubuntu Azure Linux

Apr 16, 2025

Revision history

2025-05-26 #2
Neue Updates von Debian aufgenommen
2025-04-16 #1
Initiale Fassung

References

PgBouncer 1.24.1 vom 2025-04-16
https://www.pgbouncer.org/2025/04/pgbouncer-1-24-1
NIST Vulnerability Database vom 2025-04-16
https://nvd.nist.gov/vuln/detail/CVE-2025-2291
Debian Security Advisory DLA-4180 vom 2025-05-27
https://lists.debian.org/debian-lts-announce/2025/05/msg00032.html