🇰🇷 한글 설명
PostgreSQL JDBC 드라이버 8.2 이전 버전에서 standard_conforming_strings 옵션이 활성화된 PostgreSQL 서버 환경에서 JDBC 문 매개변수가 제대로 이스케이프되지 않는 상호작용 오류입니다. 이로 인해 원격 공격자가 SQL injection 공격을 수행할 수 있습니다.
💡 쉬운 설명
데이터베이스에 접속하는 Java 프로그램의 오래된 도구에서 사용자 입력을 안전하게 처리하지 못하는 문제입니다. 공격자가 악의적인 SQL 명령을 주입하여 데이터베이스를 조작할 수 있습니다.
🇺🇸 원문 (English)
Interaction error in the PostgreSQL JDBC driver before 8.2, when used with a PostgreSQL server with the "standard_conforming_strings" option enabled, such as the default configuration of PostgreSQL 9.1, does not properly escape unspecified JDBC statement parameters, which allows remote attackers to perform SQL injection attacks. NOTE: as of 20120330, it was claimed that the upstream developer planned to dispute this issue, but an official dispute has not been posted as of 20121005.
📍 영향받는 시스템
PostgreSQL JDBC driver < 8.2 (특히 PostgreSQL 9.1+ 기본 설정)
⚔️ 공격 벡터
원격 공격자가 JDBC 연결을 통해 이스케이프되지 않은 매개변수에 SQL injection 페이로드를 주입
🛡️ 대응 방법
PostgreSQL JDBC 드라이버를 8.2 이상 버전으로 업그레이드 또는 데이터베이스의 standard_conforming_strings 옵션을 off로 설정
🔧 검증 코드
설치된 PostgreSQL 클라이언트 또는 JDBC 드라이버의 버전 번호 확인 (8.2 미만이면 취약)
dpkg -l | grep postgresql-client || rpm -qa | grep postgresql || find /usr/share/java -name 'postgresql*.jar' -exec jar xf {} META-INF/MANIFEST.MF \; -exec grep -i 'Implementation-Version' {} \;