🇰🇷 한글 설명
pgAdmin 4는 사용자가 비밀번호를 변경하거나 관리자가 비밀번호를 초기화해도 기존 세션을 무효화하지 않았습니다. 따라서 변경 이전에 생성된 세션(다른 기기나 이전 비밀번호 또는 세션 쿠키를 가진 제3자의 세션)이 만료 전까지 계속 유효하게 남아 있었습니다. 이 취약점은 pgAdmin 4 9.19 이전 버전에 영향을 미칩니다.
💡 쉬운 설명
비밀번호를 바꿔도 이전에 로그인된 다른 기기나 누군가의 접속이 끊기지 않을 수 있습니다. 그래서 비밀번호 변경으로 보호하려던 접근 차단 효과가 일부 사라질 수 있습니다.
🇺🇸 원문 (English)
pgAdmin 4 did not invalidate a user's existing sessions when their password changed, either through the user's own change password dialog or through an administrator resetting it in User Management. A session established before the change, for example on another device or by someone who had obtained the old password or a session cookie, therefore stayed logged in after the change, which is the step a user or administrator takes precisely to cut such access off. It remained usable until it expired.
The fix rotates the user's session identifier (fs_uniquifier) whenever the password is changed, so every other session of that user is logged out. The session that made the change is logged in again and keeps its database connections. Saved server passwords, including those for shared servers, are re-encrypted under the new key; any that cannot be decrypted are cleared and the user is told. If re-encryption fails, the sessions are still revoked and the saved passwords are cleared rather than the change failing.
This issue affects pgAdmin 4: before 9.19.
📍 영향받는 시스템
pgAdmin 4 9.19 미만 버전
⚔️ 공격 벡터
이전 비밀번호나 세션 쿠키를 탈취한 공격자가 비밀번호 변경 후에도 기존 세션을 계속 사용해 접근을 유지함
🛡️ 대응 방법
pgAdmin 4를 9.19 이상 버전으로 업데이트하고, 비밀번호 변경 후 기존 세션이 종료되었는지 확인하며, 의심되는 경우 모든 사용자 세션을 강제 로그아웃
🔧 검증 코드
출력된 버전이 9.19 이상이면 패치가 적용된 것이며, 9.19 미만이거나 결과가 없으면 설치 방식을 확인하고 업데이트가 필요합니다.
pip show pgadmin4 2>/dev/null | grep -i version || (dpkg -l pgadmin4 2>/dev/null | grep -E '^ii')