CVE-2026-6478: timing channel em senhas MD5 no PostgreSQL
Em 14 de maio de 2026, o PostgreSQL publicou correções de segurança para as versões 18.4, 17.10, 16.14, 15.18 e 14.23. Entre as vulnerabilidades corrigidas está a CVE-2026-6478, descrita pelo projeto como um canal lateral de tempo na comparação de senhas MD5 durante a autenticação. O ponto central é simples: senhas armazenadas no formato antigo MD5 podem vazar informação por pequenas diferenças no tempo de resposta da autenticação. Com medições repetidas, um atacante poderia recuperar credenciais suficientes para autenticar. O problema não afeta senhas armazenadas no formato scram-sha-256. ...