CVE-2026-14677 PostgreSQL 32-bit pltcl and plperl undersize allocations, via integer wraparound

概要
CVE-2026-14677は、PostgreSQLの32ビット環境のpltclとplperlで、整数ラップアラウンドにより必要量より小さいメモリ領域が割り当てられる(undersize allocations)脆弱性です。原文ではコンポーネントは「core server」、CVSSスコアは8.8、ベクトルはAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hと記載されています。このベクトルの内訳は次のとおりです。ネットワーク経由で攻撃可能、攻撃条件の複雑さは低、低い権限が必要、ユーザー操作は不要、スコープ変更なし。機密性、完全性、可用性への影響はいずれも高です。

影響対象
PostgreSQL 18、17、16、15、14が対象です。原文は、32ビット環境のpltclとplperlに関する問題として記載しています。

修正版
18.6、17.11、16.15、15.19、14.24です。

回避策
原文に記載がなく、未確認です。

不明点
原文の説明は一文のみで、「more details」の内容は含まれていません。そのため、具体的な発生条件、攻撃手法、実際の被害内容、32ビット以外の環境への影響、悪用事例の有無はいずれも未確認です。また、説明ではpltclとplperlに言及しているのに、コンポーネントは「core server」とされています。この両者の関係も原文からは未確認です。