🇰🇷 한글 설명
PostgreSQL의 pgcrypto 함수가 OpenSSL을 사용할 때 불충분한 난수를 생성하는 암호화 취약점입니다. 원격 인증된 사용자가 이를 악용하여 암호화된 데이터를 우회하거나 암호를 예측할 수 있습니다.
💡 쉬운 설명
PostgreSQL의 암호화 기능이 예측 가능한 난수를 생성해서 보안이 약해집니다. 접근권한이 있는 사용자가 암호를 쉽게 해독할 수 있습니다.
🇺🇸 원문 (English)
PostgreSQL 9.2.x before 9.2.4, 9.1.x before 9.1.9, 9.0.x before 9.0.13, and 8.4.x before 8.4.17, when using OpenSSL, generates insufficiently random numbers, which might allow remote authenticated users to have an unspecified impact via vectors related to the "contrib/pgcrypto functions."
📍 영향받는 시스템
PostgreSQL 8.4.x (8.4.17 미만), 9.0.x (9.0.13 미만), 9.1.x (9.1.9 미만), 9.2.x (9.2.4 미만)
⚔️ 공격 벡터
인증된 데이터베이스 사용자가 pgcrypto 함수를 이용해 취약한 난수 생성 기반의 암호화 작업 수행
🛡️ 대응 방법
PostgreSQL을 8.4.17, 9.0.13, 9.1.9, 9.2.4 이상의 패치 버전으로 즉시 업그레이드
🔧 검증 코드
PostgreSQL 버전이 취약점 수정 버전 이상인지 확인합니다. 매칭되면 패치됨, 없으면 업그레이드 필요합니다.
psql --version | awk '{print $3}' | grep -E '^(8\.4\.(1[7-9]|[2-9][0-9])|9\.0\.(1[3-9]|[2-9][0-9])|9\.1\.[9-9]|9\.[2-9])'