🇰🇷 한글 설명
pghoard는 PostgreSQL 백업 데몬이자 클라우드 오브젝트 스토리지에 백업 데이터를 저장하는 복구 도구입니다. 2.7.2 이전 버전에서는 경로 순회(path traversal) 수정이 불완전하여, 백업 스토리지에 쓰기 권한을 가진 공격자가 PostgreSQL 데이터 디렉터리 외부에 임의 파일을 쓰거나 디렉터리를 생성할 수 있습니다. 관리자가 pghoard_restore get-basebackup으로 복구를 수행할 때 악성 델타 매니페스트가 시스템에 임의 페이로드를 기록할 수 있습니다.
💡 쉬운 설명
백업 저장소에 접근할 수 있는 공격자가 백업 파일에 특수한 경로를 넣어두면, 복구 작업 시 서버의 엉뚱한 위치에 파일이 만들어집니다. 이를 통해 예약 작업 등을 몰래 설치해 서버를 장악할 수 있습니다.
🇺🇸 원문 (English)
pghoard is a PostgreSQL backup daemon and restore tooling that stores backup data in cloud object stores. Prior to version 2.7.2, an incomplete path traversal fix in pghoard allows an attacker with write access to the backup object storage (such as S3, GCS, or Azure) to execute arbitrary file writes and directory creation outside the designated PostgreSQL data directory (pgdata). When a database administrator executes a restore operation (via pghoard_restore get-basebackup), a maliciously crafted delta backup manifest with path traversal sequences (e.g., ../../../../etc/cron.d/backdoor) will write arbitrary payloads to the host system. This issue has been patched in version 2.7.2.
📍 영향받는 시스템
pghoard 2.7.2 미만 버전
⚔️ 공격 벡터
백업 오브젝트 스토리지(S3/GCS/Azure)에 쓰기 권한을 획득한 뒤, 경로 순회 시퀀스가 포함된 악성 델타 매니페스트를 삽입하고 관리자의 복구 작업을 유도
🛡️ 대응 방법
pghoard를 2.7.2 이상으로 업그레이드하고, 백업 스토리지 접근 권한을 최소화하며 복구 전 백업 무결성을 검증
🔧 검증 코드
출력된 버전이 2.7.2 미만이면 취약한 것이므로 즉시 업그레이드가 필요하며, 2.7.2 이상이면 패치가 적용된 상태입니다.
pghoard --version 2>/dev/null || pip show pghoard 2>/dev/null | grep -i version