PostgreSQL JDBC 42.7.12 修复通道绑定静默降级 RSS

pgJDBC 42.7.12 修复 CVE-2026-54291。连接参数写了 channelBinding=require 时，握手仍可能从带通道绑定的 SCRAM-SHA-256-PLUS 静默降级为普通 SCRAM-SHA-256，中间人防护就此失效。成因有两处：内置 SCRAM 客户端库无法为某些证书推导通道绑定哈希时返回空字节数组而不报错，pgJDBC 的认证器又没强制执行该要求。受影响的是 42.7.4 到 42.7.11。

发布于 2026-09-10T10:59:45.221429Z · JDBC Project · PostgreSQL 新闻

CVE JDBC 安全

pgJDBC 42.7.12 修复 CVE-2026-54291。连接参数写了 channelBinding=require 时，握手仍可能从带通道绑定的 SCRAM-SHA-256-PLUS 静默降级为普通 SCRAM-SHA-256，中间人防护就此失效。成因有两处：内置 SCRAM 客户端库无法为某些证书推导通道绑定哈希时返回空字节数组而不报错，pgJDBC 的认证器又没强制执行该要求。受影响的是 42.7.4 到 42.7.11。

pgJDBC 42.7.12 修复 CVE-2026-54291。连接参数写了 channelBinding=require 时，握手仍可能从带通道绑定的 SCRAM-SHA-256-PLUS 静默降级为普通 SCRAM-SHA-256，中间人防护就此失效。成因有两处：内置 SCRAM 客户端库无法为某些证书推导通道绑定哈希时返回空字节数组而不报错，pgJDBC 的认证器又没强制执行该要求。受影响的是 42.7.4 到 42.7.11。

原始来源 ↗

来源记录

• center.info_item · 571ee206ba0820c9 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · 571ee206ba0820c9 · 2026-10-03T04:08:55.967155Z