🇰🇷 한글 설명
PostgreSQL의 'internal' 데이터 타입 인자에서 발생하는 타입 혼동(Type confusion) 취약점입니다. 이를 통해 공격자는 데이터베이스를 실행 중인 운영체제 사용자 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스 내부에서만 사용해야 하는 특수 데이터 형식을 일반 사용자가 잘못 조작할 수 있는 오류입니다. 이 오류를 이용하면 해커가 데이터베이스 서버를 직접 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
Type confusion with PostgreSQL "internal" data type arguments allows any user to execute arbitrary code as the operating system user running the database, via calls to functions with that argument type. Type "internal" represents a class of mutually-incompatible data structures not intended for access from SQL. The system intended to prevent such function calls, but this prevention had gaps. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
특수하게 조작된 'internal' 타입 인자를 사용하는 함수 호출을 통한 원격 코드 실행
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 보안 패치가 적용된 최소 버전(예: 17.11 등)보다 낮은지 확인하십시오.
psql --version | grep -E 'PostgreSQL (18\[\.\d+\]|17\.\d+|16\.\d+|15\.\d+|14\.\d+)'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-08-20 · sec_notice
PostgreSQL 제품에서 버퍼 오버플로우, SQL 인젝션, 타입 혼동 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전(14.x ~ 18.x 미만)을 사용하는 사용자는 보안 패치가 적용된 최신 버전으로 업데이트해야 합니다.