🔍 CVE-2026-2004

8.8
CVSS Score
HIGH
2026-02-12
2026-07-15 02:19
✅ 완료

🇰🇷 한글 설명

PostgreSQL intarray 확장의 선택성 추정기 함수에서 입력 유형의 유효성 검증이 누락되어 데이터베이스를 실행하는 운영 체제 사용자로 임의 코드를 실행할 수 있습니다.

💡 쉬운 설명

PostgreSQL 데이터베이스의 intarray 확장 기능에서 입력 데이터를 제대로 검증하지 않아 해커가 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이는 데이터베이스를 운영하는 시스템의 보안을 위협할 수 있습니다.

🇺🇸 원문 (English)

Missing validation of type of input in PostgreSQL intarray extension selectivity estimator function allows an object creator to execute arbitrary code as the operating system user running the database. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected.

📍 영향받는 시스템

PostgreSQL 18.2 이전, 17.8 이전, 16.12 이전, 15.16 이전, 14.21 이전 버전

⚔️ 공격 벡터

데이터베이스에 악의적인 입력을 주입하여 임의 코드를 실행

🛡️ 대응 방법

PostgreSQL을 최신 버전으로 업데이트합니다. 영향을 받는 버전은 PostgreSQL 18.2, 17.8, 16.12, 15.16, 14.21 이상으로 업데이트해야 합니다.

🔧 검증 코드

로컬 PC에서 Python이 설치되어 있고 PostgreSQL 데이터베이스에 접근할 수 있는 권한이 필요합니다. 코드를 실행하기 전에 PostgreSQL 데이터베이스의 호스트, 데이터베이스 이름, 사용자 이름, 패스워드를 수정해야 합니다.

Shell / Script 
python -c "import psycopg2; conn = psycopg2.connect(host='localhost', database='postgres', user='postgres', password='postgres'); cur = conn.cursor(); cur.execute('SHOW server_version'); version = cur.fetchone()[0]; if version < '18.2' or version < '17.8' or version < '16.12' or version < '15.16' or version < '14.21': print('{"result": "취약", "reason": "PostgreSQL 버전이 낮음"}'); else: print('{"result": "양호", "reason": "PostgreSQL 버전이 최신"}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PostgreSQL