🇰🇷 한글 설명
PostgreSQL PL/Java 9.0 이후 버전에서 라지 오브젝트(Large Objects)에 대한 접근 제어가 제대로 작동하지 않는 취약점입니다. 권한 없는 사용자가 PL/Java를 통해 접근 제어를 우회하여 민감한 라지 오브젝트 데이터에 접근할 수 있습니다.
💡 쉬운 설명
PostgreSQL 데이터베이스의 큰 파일 저장소에 대한 보안 검사가 작동하지 않아, 접근 권한이 없는 사용자도 이 파일들을 읽고 수정할 수 있습니다. 데이터베이스의 권한 시스템을 완전히 우회할 수 있는 심각한 문제입니다.
🇺🇸 원문 (English)
PostgreSQL PL/Java after 9.0 does not honor access controls on large objects.
📍 영향받는 시스템
PostgreSQL PL/Java 9.0.x ~ 9.5.x (9.0 이후 모든 버전에 영향)
⚔️ 공격 벡터
데이터베이스 접근 권한이 있는 사용자가 PL/Java 함수를 실행하여 라지 오브젝트 접근 제어를 우회하고 민감한 데이터에 무단 접근
🛡️ 대응 방법
PostgreSQL 및 PL/Java를 최신 보안 패치 버전으로 업그레이드하거나, PL/Java 언어를 비활성화합니다.
🔧 검증 코드
명령어가 9.0~9.5 버전 번호를 반환하면 해당 시스템이 CVE-2016-0768에 영향을 받습니다.
psql -U postgres -c "SELECT version();" 2>/dev/null | grep -oE '9\.[0-5]'