CVE-2026-6477 PostgreSQL libpq lo_* functions let server superuser overwrite client stack memory

概要
CVE-2026-6477は、PostgreSQLのクライアントライブラリlibpqのlo_*関数に関する脆弱性です。サーバーのスーパーユーザーがクライアントのスタックメモリを上書きできるとされています。コンポーネントはclient、CVSSスコアは8.8、ベクトルはAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hです。CVSSのバージョンは原文に記載がありません。

影響対象
PostgreSQL 18、17、16、15、14が影響を受けると記載されています。影響を受ける具体的なマイナーバージョンの範囲は未確認です。

修正版
18.4、17.10、16.14、15.18、14.23で修正されたと記載されています。

回避策
原文に記載がないため未確認です。

不明点
原文は「more details」とあるのみで詳細本文がなく、以下の点は未確認です。
・lo_*関数のうち、具体的にどの関数が該当するか
・脆弱性の発生条件やメモリ上書きの仕組み
・悪用された場合の具体的な影響範囲
・悪用事例の有無
・公開日
・libpqを利用する他のクライアントやアプリケーションへの影響

なお、CVSSベクトル上はユーザー操作(UI:R)を要するとされていますが、どのような操作が必要かは原文から確認できません。