🇰🇷 한글 설명
PostgreSQL의 EXTRACT() 함수 디파스(deparse) 과정에서 발생하는 SQL 인젝션 취약점입니다. 객체 소유자가 악의적인 객체 정의를 통해 슈퍼유저 권한으로 임의의 SQL을 실행할 수 있습니다. 이 공격은 pg_dump, psql의 \sf 명령 및 기타 표현식 디파스 소비 도구에 광범위하게 영향을 미칩니다.
💡 쉬운 설명
데이터베이스의 특정 기능을 이용해 관리자 권한을 탈취할 수 있는 보안 약점입니다. 공격자가 특수하게 조작된 데이터를 입력하면 시스템 전체를 제어할 수 있는 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
SQL injection in PostgreSQL EXTRACT() deparse allows an object owner to execute arbitrary SQL as a superuser via a hostile object definition. Attacks affect expression deparse consumers broadly, including pg_dump, psql commands like \sf, and any similar usage in non-core tools. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
악의적으로 정의된 객체를 사용하여 EXTRACT() 함수가 실행될 때 SQL 인젝션을 유도함
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 보안 패치 버전보다 낮은지 확인하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-08-20 · sec_notice
PostgreSQL 제품에서 버퍼 오버플로우, SQL 인젝션, 타입 혼동 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전(14.x ~ 18.x 미만)을 사용하는 사용자는 보안 패치가 적용된 최신 버전으로 업데이트해야 합니다.