🇰🇷 한글 설명
PostgreSQL JDBC 드라이버 42.7.11부터 42.7.13 버전에서 requireAuth 설정 시 모든 인증 방법을 제외하도록 설정하면 아무런 제한 없이 모든 인증 방식을 허용하는 취약점이 발견되었습니다. 이로 인해 공격자가 중간에서 서버의 요청을 가로채 평문 비밀번호 인증을 강제할 수 있습니다.
💡 쉬운 설명
데이터베이스 연결 시 보안 규칙을 잘못 설정하면, 해커가 비밀번호를 암호화하지 않은 생태로 가로챌 수 있는 위험이 있습니다. 인증 방식을 모두 차단하려고 시도해도 오히려 모든 방식이 허용되는 보안 허점이 존재합니다.
🇺🇸 원문 (English)
pgjdbc, the PostgreSQL JDBC Driver, versions 42.7.11 through 42.7.13 enforce no restriction when the requireAuth connection property excludes all six authentication methods the driver knows, for example requireAuth=!password,!md5,!gss,!sspi,!scram-sha-256,!none. The driver then accepts any method the server asks for, including cleartext password authentication. A value without a method in it, such as requireAuth=, (a single comma), is affected the same way. An attacker positioned between the application and its server can ask for cleartext password authentication and receive the database password. A positive list such as requireAuth=scram-sha-256, and a partial exclusion such as requireAuth=!password,!md5, are enforced correctly. The property has no default value, so a deployment that does not set it is not affected. 42.7.14 fixes the problem: such a connection is refused with SQLState 08004, and a value without a method in it is rejected as invalid.
📍 영향받는 시스템
pgjdbc (PostgreSQL JDBC Driver) versions 42.7.11 through 42.7.13
⚔️ 공격 벡터
Man-in-the-Middle (MitM) 공격을 통해 서버가 평문 비밀번호 인증을 요구하도록 유도
🛡️ 대응 방법
pgjdbc 드라이버를 취약점이 해결된 버전인 42.7.14 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 42.7.11, 42.7.12, 42.7.13 버전이 포함되어 있다면 취약한 상태입니다.
mvn dependency:list | grep -E 'postgresql-jdbc|pgjdbc' | grep -E '42.7.1[1-3]'