🇰🇷 한글 설명
PostgreSQL Anonymizer에 정적 마스킹 및 통계 지속성과 관련된 취약점이 존재합니다. 원본 데이터에 대한 통계 정보가 테이블에 대해 ANALYZE 작업(수동 실행 또는 autovacuum)이 수행되기 전까지 pg_stats에 계속 노출됩니다. 이 문제는 PostgreSQL Anonymizer 3.3.0 이상 버전에서 수정되었습니다.
💡 쉬운 설명
익명화 처리된 데이터베이스에서도 원래 데이터의 통계 정보가 일정 기간 남아 있어 외부에서 볼 수 있습니다. 데이터베이스 분석 작업이 실행되기 전까지 이 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
PostgreSQL Anonymizer contains a vulnerability related to static masking and statistics persistence. Statistics pertaining to the original data remain visible in pg_stats until an ANALYZE operation is performed on the table, either manually or by autovacuum. This issue is fixed in PostgreSQL Anonymizer 3.3.0 and later versions.
📍 영향받는 시스템
PostgreSQL Anonymizer 3.3.0 미만 버전
⚔️ 공격 벡터
데이터베이스에 접근 가능한 사용자가 pg_stats 뷰를 조회하여 마스킹 이전 원본 데이터의 통계 정보를 확인
🛡️ 대응 방법
PostgreSQL Anonymizer를 3.3.0 이상으로 업그레이드하고, 마스킹 적용 후 대상 테이블에 ANALYZE를 실행
🔧 검증 코드
출력된 버전이 3.3.0 미만이면 취약하며, 3.3.0 이상이거나 결과가 없으면(확장 미설치) 영향 없음
psql -tAc "SELECT extversion FROM pg_extension WHERE extname='anon';" 2>/dev/null