PostgreSQL Anonymizer 3.3：重要安全更新

法国埃穆捷，2026 年 10 月 27 日。

Dalibo 宣布发布 PostgreSQL Anonymizer 3.3，包含多项重要安全修复。

加强数据隐私保护

PostgreSQL Anonymizer 是一个 PostgreSQL 扩展，用于隐藏或替换数据库中的个人身份信息（PII）或商业敏感数据。

扩展提供六种脱敏策略：

• 动态脱敏：实时保护数据。
• 静态脱敏：永久转换数据。
• 副本脱敏：对逻辑复制数据匿名化。
• 备份脱敏：导出经过隐私保护的数据库。
• 脱敏视图：控制数据可见性。
• 脱敏数据包装器：将保护扩展到其他系统。

每种策略都可配合丰富的脱敏函数使用，包括替换、随机化、伪造、假名化、局部扰乱、洗牌、添加噪声和泛化。

扩展可通过 Debian 与 RPM 软件包、Ansible 角色、Docker 镜像等方式安装。多数主要 DBaaS 平台均可使用，包括阿里云、Crunchy Bridge、Google Cloud SQL、IBM Cloud、Microsoft Azure Database、Neon 和 Yandex；部分 Postgres 分支也提供支持，例如 EDB Advanced Postgres、Greenplum 和 Yugabyte。详见文档的 INSTALL 章节。

重要安全更新

3.3 版修复了 12 个严重漏洞。这些漏洞可能让某些用户在特定条件下取得超级用户权限，或让受脱敏限制的用户访问个人信息：

• CVE-2026-110181：受脱敏限制的角色可通过采用 SQL 标准函数体的 SQL 函数读取原始数据。
• CVE-2026-105615：受脱敏限制的角色可以读取 pg_stats。
• CVE-2026-105616：秘密盐值可从 pg_db_role_setting 中读取。
• CVE-2026-110183：静态脱敏后，pg_stats 仍保留已脱敏列的原始值。
• CVE-2026-105619：脱敏规则未应用于 security_invoker 视图。
• CVE-2026-105618：动态脱敏不适用于继承表。
• CVE-2026-110182：anon.partial() 与 anon.partial_email() 可能泄露数据。
• CVE-2026-105617：缓存的执行计划可绕过透明动态脱敏。
• CVE-2026-105620：可通过子查询进行未授权访问。
• CVE-2026-105612：修改数据的 CTE 可绕过只读限制。
• CVE-2026-105614：图像函数中无上限的内存分配可能导致拒绝服务。
• CVE-2026-105613：基于范围的虚拟数据函数存在拒绝服务问题。

所有用户都应尽快将扩展升级至 3.3 版。

升级

3.3 版增加了一系列限制，以阻止恶意行为：

• 禁止在脱敏规则中使用子查询。
• 对透明动态脱敏禁用函数内联。
• 使用动态脱敏时，禁止受脱敏限制的角色执行采用 SQL 标准函数体的函数。这也包括使用该形式的 contrib 扩展函数，例如 citext、earthdistance 等。

此外，强烈建议修改 anon.salt 配置参数的值。详见 UPGRADE 章节。

致谢

本次发布包含 Alain Lesage、@dmeremyanin、Gregoire Hubert 及其他贡献者 提供的代码、修复、文档、代码审查和建议。感谢 @dmeremyanin 的首次贡献！

安全问题由 Alexander Kukushkin 和 Ilya Staroverov 报告。感谢他们的投入、配合与高质量工作，也特别感谢 PGRX 团队的出色工作！

加入社区，共同改善数据隐私

PostgreSQL Anonymizer 属于 Dalibo Labs 计划，主要由 Damien Clochard 与 Benoit Lobréau 开发。

这是一个开放项目，欢迎贡献。我们需要您的反馈和想法：请告诉我们您对工具的看法、它如何满足您的需求，以及还缺少哪些功能。希望参与的朋友可以查看 Junior Jobs 列表。

原文