CVE-2025-2291
CVE-2025-2291 · PgBouncer default auth_query does not take Postgres password expiry into account
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Password can be used past expiry in PgBouncer due to auth_query not taking into account Postgres its VALID UNTIL value, which allows an attacker to log in with an already expired password
CVSS 8.1 · Élevée · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
pgbouncer
- Versions du logiciel
- ≥ 0, < 1.24.1: Concernée (semver)
Mettez à jour vers 1.24.1
pgbouncer Debian:12
- Versions du logiciel
- 1.18.0-1
- Plages de versions concernées
- ECOSYSTEM: < 1.18.0-1+deb12u1
Mettez à jour vers 1.18.0-1+deb12u1
pgbouncer Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 1.24.1-1
Mettez à jour vers 1.24.1-1
pgbouncer Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 1.24.1-1
Mettez à jour vers 1.24.1-1
pgbouncer Ubuntu:16.04:LTS
- Versions du logiciel
- 1.5.5-1
- 1.6.1-1
- 1.7-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
pgbouncer Ubuntu:18.04:LTS
- Versions du logiciel
- 1.7.2-3build1
- 1.7.2-65-g2b8e6cf-1
- 1.8.1-1
- 1.8.1-1build1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
pgbouncer Ubuntu:20.04:LTS
- Versions du logiciel
- 1.10.0-1
- 1.10.0-1build1
- 1.11.0-1
- 1.12.0-2
- 1.12.0-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
pgbouncer Ubuntu:22.04:LTS
- Versions du logiciel
- 1.15.0-1
- 1.16.1-1ubuntu1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
pgbouncer Ubuntu:24.04:LTS
- Versions du logiciel
- 1.20.0-1
- 1.21.0-1
- 1.22.0-1
- 1.22.0-1build1
- 1.22.0-1build3
- 1.22.0-1build4
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
pgbouncer Ubuntu:25.10
- Versions du logiciel
- 1.24.0-3
- 1.24.1-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié