🇰🇷 한글 설명
PostgreSQL의 tsvector 및 tsquery 데이터 타입 함수에서 정수 오버플로(Integer wraparound) 취약점이 발견되었습니다. 권한이 없는 데이터베이스 사용자가 조작된 대규모 입력을 통해 메모리 할당 크기를 잘못 계산하게 하여 범위를 벗어난 쓰기(Out-of-bounds write)를 유발할 수 있으며, 이는 데이터베이스 실행 계정 권한으로 임의 코드를 실행할 수 있게 합니다.
💡 쉬운 설명
데이터베이스가 숫자를 계산하는 과정에서 오류가 발생하여, 정해진 메모리 공간보다 더 많은 데이터를 써버리는 문제입니다. 이를 통해 해커가 데이터베이스 서버를 마음대로 조종할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Integer wraparound in PostgreSQL tsvector and tsquery data type functions allows an unprivileged database user to cause the server to undersize an allocation and write out-of-bounds, via crafted large inputs. This may execute arbitrary code as the operating system user running the database. These types are typically sourced from application logic, not taken from the application's user. Hence, application users attacking the database, through the application as a conduit, are unlikely. CVE-2026-6473 had fixed similar problems. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 대규모 입력을 데이터베이스 함수에 전달하여 메모리 오류 유발
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트
🔧 검증 코드
출력된 PostgreSQL 버전이 취약점이 해결된 패치 버전보다 낮은지 확인
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-08-20 · sec_notice
PostgreSQL 제품에서 버퍼 오버플로우, SQL 인젝션, 타입 혼동 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전(14.x ~ 18.x 미만)을 사용하는 사용자는 보안 패치가 적용된 최신 버전으로 업데이트해야 합니다.