Babelfish for PostgreSQL'de CVSS 9.8 TDS açığı: AWS, 1433 portunu kısıtlama çağrısı yaptı
AWS'nin 2026-166-AWS bülteni, Babelfish for PostgreSQL eklentisinin TDS bağlantı el sıkışmasındaki CVE-2026-119923 ve CVE-2026-119924 açıklarını kapatıyor. Düzeltme eklentinin 4.10, 5.6 ve 6.1 sürümlerinde.
CVE-2026-119923, CVE-2026-119924
AWS, 6 Kasım'da yayımladığı 2026-166-AWS bülteniyle Babelfish for PostgreSQL eklentisindeki iki açığı duyurdu. Babelfish, PostgreSQL'in Microsoft SQL Server istemcilerinden gelen TDS protokolü bağlantılarını kabul etmesini sağlayan açık kaynak bir eklenti; Amazon Aurora PostgreSQL'de yönetilen özellik olarak da sunuluyor. En ağır açık CVE-2026-119923 (CVSS v3.1 9.8). AWS'ye göre TDS bağlantı el sıkışmasının işlenmesindeki bir bellek güvenliği hatası, kimliği doğrulanmamış uzaktaki bir saldırganın veritabanı sürecinin gizliliğini, bütünlüğünü ve erişilebilirliğini etkilemesine yol açabiliyor. CVE kaydı hatayı TDS prelogin ayrıştırıcısında heap tabanlı bir taşma olarak tanımlıyor. Aynı bültende ikinci bir TDS açığı, CVE-2026-119924 de yer alıyor.
Bültende açıkların saldırılarda kullanıldığına dair bir bilgi yok ve CISA KEV listesinde değiller. Ancak hata oturum açmadan önceki aşamada tetiklendiği için TDS portu (varsayılan 1433) internete ya da geniş ağ bölümlerine açık kurulumlar en çok risk altında olanlar.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Babelfish for PostgreSQL (açık kaynak eklenti) | 4.10, 5.6 ve 6.1 öncesi sürümler | 4.10, 5.6, 6.1 |
| Amazon Aurora PostgreSQL with Babelfish | Üretici bildirimindeki liste | Üretici bildirimindeki liste (ör. 13.9.16, 13.23.3, 14.6.16 serileri) |
Aurora için sürüm eşleşmesinin tam listesi 2026-166-AWS bülteninde yer alıyor. Bazı ara sürümlerin (4.9, 5.5 serileri gibi) kapsamı topluluk tarafından sorgulandığı için bülteni kendi sürümünüzle birebir karşılaştırın.
Beni etkiliyor mu?
Kendi kurduğunuz PostgreSQL sunucusunda, salt okunur bir oturumla pg_extension kataloğunu sorgulayarak babelfishpg_tsql ve babelfishpg_tds eklentilerinin sürümüne bakın; babelfishpg_tsql.listen_addresses ayarı TDS dinleyicisinin hangi adreslere açık olduğunu gösterir. PostgreSQL servisinin çalıştığını şöyle görebilirsiniz:
systemctl status postgresqlAurora tarafında konsolda RDS › Veritabanları › küme › Yapılandırma sekmesinden motor sürümüne ve Babelfish'in etkin olup olmadığına bakın. TDS portuna hangi kaynakların erişebildiğini VPC › Güvenlik grupları ekranındaki gelen kurallardan kontrol edin.
Ne yapılmalı?
- Açık kaynak eklentiyi 4.10, 5.6 ya da 6.1 sürümüne, Aurora kümelerini bültendeki düzeltilmiş motor sürümüne yükseltin.
- Yükseltme yapılana kadar AWS'nin önerdiği workaround'u uygulayın: TDS portuna erişimi güvenlik grupları ve ağ ACL'leriyle yalnızca güvenilen uygulama sunucularına sınırlayın; 1433'ün internete açık olmadığından emin olun.
- Veritabanı süreçlerinde beklenmeyen çökme ya da yeniden başlama kayıtlarını ve tanınmayan kaynaklardan gelen TDS bağlantılarını izleyin.
- Aurora motor yükseltmesi kısa bir kesinti gerektirebilir; işlemi change management sürecinden geçirip bakım penceresine planlayın.
