AWS פרסמה ב־6 בנובמבר 2026 עדכון אבטחה לשתי חולשות ב־Babelfish for PostgreSQL, רכיב שמאפשר ליישומים התואמים ל־Microsoft SQL Server להתחבר ל־Amazon Aurora PostgreSQL דרך פרוטוקול TDS. אחת החולשות ניתנת לניצול ללא אימות ועלולה לאפשר הרצת קוד בהקשר של תהליך מסד הנתונים; השנייה דורשת משתמש מאומת ועלולה לחשוף זיכרון סמוך או לגרום להשבתת השירות.
CVE-2026-119923: תקיפה עוד בשלב ה־prelogin
החולשה הקריטית נמצאת במנתח הודעת ה־prelogin של TDS. לפי AWS, טיפול לא תקין בגבולות זיכרון עלול לגרום ל־heap buffer overflow. תוקף מרוחק שאינו מחזיק בפרטי התחברות יכול לשלוח קלט זדוני אל פורט TDS — ברירת המחדל היא 1433 — ולנסות להריץ פקודות מערכת בהרשאות של משתמש תהליך מסד הנתונים.
המשמעות המעשית היא שגם אם הרשאות ה־SQL עצמן מוקשחות, עצם החשיפה של פורט TDS למקורות לא מהימנים עלולה להשאיר נתיב תקיפה לפני שלב האימות. סביבה שמאפשרת גישה ציבורית או טווחי מקור רחבים במיוחד צריכה לקבל עדיפות גבוהה בתיקון.
CVE-2026-119924: קריאה מחוץ לגבולות אחרי אימות
החולשה השנייה נמצאת בטיפול בשם פרוצדורה בתוך קריאת TDS RPC. משתמש מאומת יכול לגרום ל־out-of-bounds read, לקרוא מידע מזיכרון סמוך או להביא ל־Denial of Service. היא פחות חמורה מהחולשה הבלתי־מאומתת, אך עדיין מסוכנת במיוחד בסביבות מרובות משתמשים או ביישומים שבהם חשבון שירות שנפרץ יכול להגיע ישירות אל Babelfish.
אילו גרסאות מושפעות?
הבולטין כולל ענפים רבים של Babelfish: סדרות 1.x עד 1.5, 2.x עד 2.15, 3.x עד 3.12, 4.x עד 4.8 ו־5.x עד 5.4, לצד גרסאות Aurora PostgreSQL תואמות. AWS מציינת כי גרסאות הרחבה 4.10, 5.6 ו־6.1 כוללות את התיקונים. רשימת גרסאות Aurora המתוקנות מפורטת בבולטין הרשמי, ולכן יש להתאים את מסלול השדרוג לענף הפעיל ולא להסתמך רק על מספר הגרסה הראשי.
פעולות מומלצות למנהלי תשתיות
- זהו חשיפה: בדקו אילו clusters מפעילים Babelfish ואילו security groups, ACLs או כללי firewall מאפשרים גישה ל־TCP/1433.
- צמצמו מקורות: עד להשלמת השדרוג, הגבילו את פורט TDS ליישומים, רשתות ניהול וכתובות מהימנות בלבד. אל תשאירו אותו פתוח לאינטרנט.
- שדרגו לענף מתוקן: בחרו גרסת Aurora נתמכת שמופיעה ברשימת התיקונים של AWS, בצעו snapshot ובדיקת תאימות, ואז החליפו את הגרסה בחלון תחזוקה.
- חפשו סימנים: בדקו אירועי חיבור חריגים, קריסות של תהליך מסד הנתונים, restart בלתי מוסבר, שגיאות protocol parser ועלייה חריגה בחיבורים ל־1433.
- הפרידו הרשאות: צמצמו את הרשאות חשבונות השירות והגבילו תנועה רוחבית, משום שקוד המורץ בהקשר תהליך מסד הנתונים עלול לשמש כנקודת קפיצה.
לא אותה חולשה שדווחה מוקדם יותר
חשוב להבדיל בין שתי החולשות החדשות בשכבת TDS לבין CVE-2026-119922, חולשת הסלמת הרשאות אחרת ב־Babelfish. כאן מדובר בנתיב רשת ובמנתחי הודעות prelogin ו־RPC; לכן גם ארגון שכבר בחן הרשאות פנימיות צריך לבצע הערכת חשיפה נפרדת.
ההקלה הזמנית שמציעה AWS — הגבלת פורט 1433 למקורות מהימנים — מצמצמת סיכון אך אינה תחליף לעדכון. כאשר קיימת חולשה בלתי־מאומתת בשלב handshake, סגירת שטח התקיפה והשדרוג לגרסה מתוקנת הם שני צעדים משלימים.
מקורות
תמונה: Syed Ahmad, דרך Unsplash. רישיון Unsplash מתיר שימוש חופשי מסחרי ולא־מסחרי, לרבות באתר וברשתות חברתיות, ללא צורך באישור נוסף; אין למכור את הקובץ כפי שהוא או ליצור באמצעותו שירות תמונות מתחרה. התמונה המופשטת משמשת להמחשת התרעת אבטחה.
