🔍 CVE-2017-7546

9.8
CVSS Score
CRITICAL
2017-08-16
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

PostgreSQL 9.2.22, 9.3.18, 9.4.13, 9.5.8, 9.6.4 이전 버전의 인증 우회 취약점으로, 빈 비밀번호를 가진 데이터베이스 계정으로 원격 접근을 허용합니다. 공격자가 적절한 인증 없이 데이터베이스에 접속하여 민감한 정보를 탈취하거나 조작할 수 있습니다.

💡 쉬운 설명

PostgreSQL이 비밀번호가 없는 계정으로도 접속을 허용하는 버그입니다. 누구나 권한 없이 데이터베이스의 정보를 읽거나 수정할 수 있습니다.

🇺🇸 원문 (English)

PostgreSQL versions before 9.2.22, 9.3.18, 9.4.13, 9.5.8 and 9.6.4 are vulnerable to incorrect authentication flaw allowing remote attackers to gain access to database accounts with an empty password.

📍 영향받는 시스템

PostgreSQL < 9.2.22, 9.3.x < 9.3.18, 9.4.x < 9.4.13, 9.5.x < 9.5.8, 9.6.x < 9.6.4

⚔️ 공격 벡터

pg_hba.conf에서 trust 인증 방식 설정 시 원격 공격자가 빈 비밀번호로 데이터베이스에 접근

🛡️ 대응 방법

PostgreSQL을 각 계열의 패치 버전 이상으로 업그레이드 (9.2.22+, 9.3.18+, 9.4.13+, 9.5.8+, 9.6.4+)

🔧 검증 코드

설치된 PostgreSQL 버전이 각 계열의 최소 패치 버전 이상인지 확인하여 안전 여부 판단

Shell / Script 
psql --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | awk '{if ($1 >= target) print "Safe"; else print "Vulnerable"}' target=패치버전

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PostgreSQL