🇰🇷 한글 설명
PostgreSQL의 GSSAPI 지원 기능에서 메시지 무결성 검증이 부적절하게 이루어져, pg_hba.conf 설정과 무관하게 GSSAPI 대신 TLS 암호화만으로 연결이 협상될 수 있는 취약점입니다. TLS 설정이 GSSAPI보다 느슨할 경우, 보안 수준이 낮은 상태로 연결이 유지될 위험이 있습니다.
💡 쉬운 설명
데이터를 보호하기 위해 강력한 인증(GSSAPI)을 사용하도록 설정했음에도 불구하고, 공격자가 이를 우회하여 보안이 약한 방식(TLS)으로 연결을 강제할 수 있는 문제입니다. 결과적으로 원래 의도했던 것보다 낮은 수준의 보안 환경에서 데이터가 전송될 수 있습니다.
🇺🇸 원문 (English)
Improper enforcement of message integrity in PostgreSQL GSSAPI support allows a user to negotiate GSSAPI contrary to pg_hba.conf rules, via initial direct TLS connection. Despite a pg_hba.conf that appears to require GSSAPI, the connection may exchange data over TLS encryption alone. If the TLS settings are more permissive than the GSS settings, the connection may continue with lesser protection. Within major versions 17-18, minor versions before PostgreSQL 18.6 and 17.11 are affected. Versions before PostgreSQL 17 are unaffected.
📍 영향받는 시스템
PostgreSQL 17-18 버전 중 18.6 및 17.11 미만 버전
⚔️ 공격 벡터
초기 직접 TLS 연결을 통해 GSSAPI 협상을 우회하여 보안 수준이 낮은 연결을 유도
🛡️ 대응 방법
PostgreSQL을 18.6 또는 17.11 이상의 최신 마이너 버전으로 업데이트
🔧 검증 코드
명령어 결과에 버전 번호가 출력되면 취약한 버전이 설치되어 있는 상태입니다.
psql --version | grep -E 'PostgreSQL (17\.[0-9]*|18\.[0-9]*)' | grep -vE '17\.11|18\.6'