🇰🇷 한글 설명
PostgreSQL의 LDAP 인증 모듈에서 익명 바인드 설정 시 빈 비밀번호로 인증을 우회할 수 있는 취약점입니다. 원격 공격자가 정상적인 자격증명 없이 데이터베이스에 접근할 수 있으며, 기밀성과 무결성이 훼손될 수 있습니다.
💡 쉬운 설명
PostgreSQL이 빈 비밀번호로도 로그인을 허용하는 설정 오류가 있습니다. 공격자는 이를 악용하여 권한 없이 데이터베이스에 접근할 수 있습니다.
🇺🇸 원문 (English)
The core server component in PostgreSQL 8.3 before 8.3.8 and 8.2 before 8.2.14, when using LDAP authentication with anonymous binds, allows remote attackers to bypass authentication via an empty password.
📍 영향받는 시스템
PostgreSQL 8.3.0~8.3.7, 8.2.0~8.2.13 (LDAP 인증 설정된 경우)
⚔️ 공격 벡터
원격 공격자가 LDAP 기반 인증에서 빈 비밀번호를 입력하여 인증 검증 우회
🛡️ 대응 방법
PostgreSQL을 8.3.8 이상 또는 8.2.14 이상으로 업그레이드하고, LDAP 인증 설정에서 익명 바인드 비활성화
🔧 검증 코드
출력된 버전이 8.3.8 미만 또는 8.2.14 미만이면 취약한 상태이고, 그 이상이면 패치된 상태입니다.
psql -U postgres -c "SELECT version();" 2>/dev/null | grep -oE '8\.[23]\.[0-9]+'