🇰🇷 한글 설명
PostgreSQL의 fuzzystrmatch 확장에 있는 정수 오버플로(Integer wraparound) 취약점으로 인해 발생합니다. 공격자가 levenshtein() 또는 levenshtein_less_equal() 함수에 극단적인 값을 입력하면 메모리의 광범위한 영역에 쓰기를 수행하여 데이터베이스 실행 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스의 특정 계산 함수에 아주 큰 숫자를 넣으면 계산 오류가 발생하여 컴퓨터의 제어권을 뺏길 수 있는 문제입니다. 이를 통해 해커가 데이터베이스 서버를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
Integer wraparound in PostgreSQL fuzzystrmatch allows a user to direct writes to a huge range of addresses, executing arbitrary code as the operating system user running the database, via extreme inputs to SQL function levenshtein() or levenshtein_less_equal(). Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
SQL 함수(levenshtein 또는 levenshtein_less_equal)에 조작된 극단적인 입력값 전달
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전보다 낮은지 확인합니다.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-08-20 · sec_notice
PostgreSQL 제품에서 버퍼 오버플로우, SQL 인젝션, 타입 혼동 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전(14.x ~ 18.x 미만)을 사용하는 사용자는 보안 패치가 적용된 최신 버전으로 업데이트해야 합니다.