WR 株式会社WR 松戸のホームページ制作・社内システム・IT相談

株式会社WR

千葉県松戸市
松戸・柏・市川・流山・船橋 対応

ホーム›脆弱性情報›PostgreSQL›CVE-2026-104055

警告 CVSS 5.3 PostgreSQL CVE-2026-104055 公表 2026年10月2日

PostgreSQL operator charmにパスワード漏えいの脆弱性

PostgreSQL — CVE-2026-104055

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国 脆弱性データベース））↗

どんな問題か

postgreSQL-operator charmで、監視用のPostgreSQLユーザーのパスワードがエラー時にログへ平文で出力される問題があります。ログを見られる人なら、パスワードを知ることができます。

放置するとどうなるか

監視用アカウントが盗まれ、データベース情報を読まれるおそれがあります。ログ管理が甘いと、内部情報の漏えいにつながります。

今すぐやること

該当の charm を使っている場合は、修正版のリビジョンへ更新してください。あわせてログ閲覧権限を見直し、古いログの保管も点検しましょう。

自分のサイトが該当するかの確認手順

  1. お使いのサーバー・プログラムに PostgreSQL が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
  2. バージョンが「14/edge rev.1189(arm64),1190(amd64); 14/stable rev.1216(arm64),1217(amd64)」に当てはまるか確認します。
  3. 当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。
原文（英語）を表示
The postgresql-operator charm runs a Prometheus postgres_exporter to collect database metrics using a dedicated "monitoring" PostgreSQL user. On database connection errors, the exporter writes the monitoring user's password in cleartext to its logs. Any actor able to read those logs can recover the password, which grants read-only pg_monitor access to PostgreSQL. This is fixed in the dev track (14/edge) in revisions 1189 (arm64) and 1190 (amd64), and in the stable track (14/stable) in revisions 1216 (arm64) and 1217 (amd64).

※ 解説は NVD（米国 脆弱性データベース） の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。

無料で相談する →