🇰🇷 한글 설명
AWS Advanced Go Wrapper의 GlobalDatabasePlugin에서 신뢰할 수 없는 검색 경로 문제로 인해, 원격 인증된 저권한 사용자가 악성 함수를 생성하여 다른 RDS 사용자의 권한으로 승격할 수 있습니다. 특히 rds_superuser와 같은 고권한 계정으로의 권한 상승이 가능하여 심각한 보안 취약점입니다.
💡 쉬운 설명
이 결함은 공격자가 악의적인 코드를 숨겨 다른 사용자의 계정에 접속할 때 자동으로 실행되게 할 수 있게 합니다. 결과적으로 공격자는 일반 사용자 권한에서 최고 관리자 권한까지 자유롭게 상승할 수 있습니다.
🇺🇸 원문 (English)
An untrusted search path issue in the GlobalDatabasePlugin in the AWS Advanced Go Wrapper for Amazon Aurora PostgreSQL will allow a remote authenticated low-privilege actor to escalate privileges to those of another Amazon RDS user, including rds_superuser, via a crafted function created by the actor that runs when that user connects to the cluster through the affected wrapper.
To remediate this issue, users should upgrade to the AWS Advanced Go Wrapper release 2026-05-26
📍 영향받는 시스템
AWS Advanced Go Wrapper for Amazon Aurora PostgreSQL (2026-05-26 이전 버전)
⚔️ 공격 벡터
공격자가 생성한 악성 함수가 대상 사용자가 클러스터에 접속할 때 실행되도록 유도
🛡️ 대응 방법
AWS Advanced Go Wrapper를 2026-05-26 릴리스 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2026-05-26 이후인지 확인하여 패치 여부 검증
go list -m github.com/aws-advanced/aws-go-wrapper