CVE-2026-6478 PostgreSQL discloses MD5-hashed passwords via covert timing channel

概要
CVE-2026-6478は、PostgreSQLのコアサーバー(core server)における脆弱性です。原文によると、PostgreSQLが隠れたタイミングチャネル(covert timing channel)を通じてMD5でハッシュ化されたパスワードを漏えいさせるとされています。CVSSスコアは6.5、ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Nです。ベクトル上は、ネットワーク経由、攻撃条件の複雑さが低、特権不要、ユーザー操作不要とされ、機密性と完全性への影響は低、可用性への影響はなしと評価されています。

影響対象
PostgreSQL 18、17、16、15、14の各メジャーバージョン。影響を受ける具体的なマイナーバージョンの範囲は原文に記載がなく、未確認です。

修正版
18.4、17.10、16.14、15.18、14.23。

回避策
原文に記載がなく、未確認です。

不明点
原文の説明は「more details」で途切れており、詳細は未確認です。具体的には、タイミングチャネルが発生する仕組み、MD5認証の設定有無など影響が生じる条件、攻撃の前提、悪用事例の有無、13以前のバージョンへの影響、公開日がいずれも未確認です。詳細はPostgreSQL公式のセキュリティ情報で確認する必要があります。