🇰🇷 한글 설명
PostgreSQL의 pgcrypto 확장 모듈에서 비활성화된 암호화 알고리즘을 사용할 경우, 암호문 관찰을 통해 평문을 복구할 수 있는 취약점이 발견되었습니다. OpenSSL 설정에 따라 취약점이 결정되며, 잘못된 키를 사용하더라도 복호화가 성공하여 데이터 변조 탐지 기능이 무력화될 수 있습니다.
💡 쉬운 설명
암호화가 제대로 작동하지 않아 해커가 암호화된 데이터를 보고 원래 내용을 알아낼 수 있는 문제입니다. 또한 데이터가 몰래 바뀌어도 이를 알아채지 못할 위험이 있습니다.
🇺🇸 원문 (English)
Cleartext storage in PostgreSQL pgcrypto disabled ciphers allows a user to recover cleartext, via direct observation of the faulty ciphertext. The OpenSSL version and OpenSSL configuration determine the disabled ciphers. If the application accepts encrypted data as input, decryption will succeed even with the wrong key. This in turn loses the modest protection from the Modification Detection Code (MDC). Affected functions are pgp_sym_encrypt, pgp_sym_decrypt, pgp_pub_encrypt, pgp_pub_decrypt, pgp_sym_encrypt_bytea, pgp_sym_decrypt_bytea, pgp_pub_encrypt_bytea, and pgp_pub_decrypt_bytea. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
암호화된 데이터(ciphertext)를 직접 관찰하여 평문을 유추하거나 잘못된 키로 복호화를 시도하는 방식
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 보안 패치 버전 이상인지 확인하십시오.
psql --version | grep -E 'PostgreSQL (18\[\.\d+\]|17\.\d+|16\.\d+|15\.\d+|14\.\d+)'