Pgpool-II: siete vulnerabilidades y cómo blindamos a nuestros clientes en 48 horas.
Un bypass de autenticación, corrupción de memoria y fugas de información en el balanceador más usado delante de PostgreSQL. Esto es lo que pasó, lo que hicimos y lo que debe hacer usted hoy.
29 sep 2026Custodia Research6 min de lectura
Versiones corregidas
Actualice a la versión corregida de su rama. Las versiones anteriores de cada rama son vulnerables.
- 4.7.3
- 4.6.8
- 4.5.13
- 4.4.18
- 4.3.21
Qué se ha descubierto
- Autenticación01
Bypass con certificados X.509
Pgpool-II no gestionaba correctamente bytes NUL en el campo Common Name del certificado de cliente. Un certificado manipulado podía hacerse pasar por otro usuario y acceder a la base de datos.
- Alta disponibilidad02
Toma de control del watchdog
Era posible eludir la clave de autenticación del watchdog y promocionar un nodo arbitrario a líder, desviando el tráfico del clúster.
- Memoria03
Escrituras fuera de límites
Varios errores de escritura fuera de límites y corrupción de pila que, en el peor caso, pueden provocar caídas o ejecución de código.
- Información04
Fuga a través del watchdog
El proceso watchdog podía revelar información interna a quien alcanzara su puerto.
Nuestra respuesta, hora a hora
- H+0
Publicación del aviso
El equipo de inteligencia lo detecta y abre un incidente interno.
- H+2
Inventario
Identificamos cada instancia de Pgpool-II en la infraestructura de nuestros clientes y su exposición.
- H+6
Mitigación
Restringimos el puerto del watchdog, endurecimos la autenticación por certificado y añadimos reglas de detección en el SOC.
- H+48
Parcheado
Todas las instancias actualizadas a versiones corregidas y verificadas, sin cortes de servicio.
- hasta parchear a todos los clientes
- < 48 h
- hasta parchear a todos los clientes
- cortes de servicio durante la actualización
- 0
- cortes de servicio durante la actualización
- intentos de explotación con éxito
- 0
- intentos de explotación con éxito
Qué debe hacer hoy
- 1Actualice Pgpool-II a la versión corregida de su rama.
- 2No exponga el puerto del watchdog fuera de la red del clúster.
- 3Revise los registros de autenticación por certificado de las últimas semanas.
- 4Rote las claves del watchdog y las credenciales de servicio.
- 5Si cree que le han atacado, llame a nuestra línea de urgencias.
Siguiente paso
¿Hablamos de su caso?
30 minutos con un socio, no con un comercial. Sin compromiso.