¿Qué es la vulnerabilidad CVE-2026-120064 en psqlODBC?
CVE-2026-120064 es una vulnerabilidad crítica con una puntuación CVSS de 7.5 descubierta en el controlador psqlODBC analizado en incidentes previos de librerias. Múltiples puntos de entrada de la interfaz ODBC emplean números de columna o índices de fila suministrados por la aplicación sin realizar una validación previa.
El problema técnico abarca debilidades como CWE-129 y CWE-190, asociadas con la falta de validación de índices de matrices y desbordamientos de enteros. Funciones clave como SQLBindCol, SQLColAttribute y SQLSetPos procesan índices erróneos que provocan comportamientos anómalos en memoria.
¿A quién afecta y cómo se desencadena el fallo?
Cualquier aplicación que reenvíe números de columna o de fila no confiables y sin filtrar al controlador expone su proceso a lecturas y escrituras fuera de límites. Esto puede derivar en corrupción de memoria, fallos del sistema o comportamientos impredecibles.
Por ejemplo, una llamada a SQLBindCol con un número de columna superior a 32767 provoca que el conteo de enlaces se vuelva negativo, lo que causa que copias posteriores desborden los límites del array. Asimismo, un valor negativo en SQL_DESC_COUNT desvincula columnas en índices negativos.
¿Cómo me protejo?
Proteger los entornos de bases de datos requiere una combinación de actualización de componentes y auditoría de código, siguiendo buenas prácticas similares a la gestión de fallos de escalada de privilegios locales.
Aplica los siguientes pasos de mitigación para asegurar tu infraestructura:
- Actualiza inmediatamente el controlador psqlODBC a la versión 18.00.0006 o superior.
- Revisa el código de tus aplicaciones cliente para garantizar que cualquier número de columna o fila proveniente de fuentes externas sea estrictamente validado antes de invocar funciones ODBC.
- Consulta la referencia técnica en github para conocer más detalles sobre el parche de seguridad y los cambios implementados.