🇰🇷 한글 설명
PostgreSQL의 psql COPY 명령 수행 중 신뢰할 수 없는 데이터가 포함될 경우, 오류 주입을 통해 데이터 행이 psql 명령어로 실행될 수 있는 취약점입니다. 'COPY FROM STDIN' 또는 '\copy FROM STDIN' 명령이 데이터 입력을 기다리기 전에 실패하면, psql이 입력된 데이터 행을 명령어로 처리하게 됩니다. 공격자가 서버와 데이터 행을 모두 제어하거나, 우연한 오류를 통해 공격을 완성할 수 있습니다.
💡 쉬운 설명
데이터를 입력하는 과정에서 오류가 발생하면, 입력하려던 데이터가 갑자기 컴퓨터 명령어로 오해받아 실행될 수 있는 문제입니다. 이를 통해 공격자가 의도하지 않은 명령을 서버에 내릴 위험이 있습니다.
🇺🇸 원문 (English)
Untrusted data inclusion in PostgreSQL psql COPY may allow a server administrator to elicit execution of data lines as psql commands, via error injection. If the "COPY FROM STDIN" or "\copy FROM STDIN" command fails before the server indicates that it awaits input rows, psql processes the in-line data rows as psql commands. "COPY FROM" with a filename is unaffected. The server administrator has no inherent control over the data rows, so a complete attack requires the attacker to separately acquire control of both the server and the data rows. Alternatively, an attacker controlling data rows alone might complete an attack through a coincidental error that they don't control. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
COPY FROM STDIN 명령 중 오류를 유도하여 데이터 행을 psql 명령어로 실행시키는 오류 주입 공격
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)인지 확인하십시오.
psql --version | grep -E 'PostgreSQL (18\[\.\d+\]|17\.\d+|16\.\d+|15\.\d+|14\.\d+)'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-08-20 · sec_notice
PostgreSQL 제품에서 버퍼 오버플로우, SQL 인젝션, 타입 혼동 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전(14.x ~ 18.x 미만)을 사용하는 사용자는 보안 패치가 적용된 최신 버전으로 업데이트해야 합니다.