🇰🇷 한글 설명
PostgreSQL의 논리적 디코딩 과정에서 권한 검증이 누락되어, REPLICATION 권한을 가진 비관리자 사용자가 임의의 파일을 로드할 수 있는 취약점입니다. 이를 통해 서버 운영 계정 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스의 특정 권한을 가진 사용자가 서버의 보안을 뚫고 악성 프로그램을 실행할 수 있는 문제입니다. 결과적으로 해커가 데이터베이스 서버를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
Missing authorization in PostgreSQL logical decoding allows a non-superuser holding REPLICATION privilege to dlopen any file visible to the operating system account running the server, via the choice of logical decoding plugin. This in turn runs arbitrary code as that account. Versions before PostgreSQL 18.6, 17.11, 16.15, 15.19, and 14.24 are affected.
📍 영향받는 시스템
PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 미만 버전
⚔️ 공격 벡터
REPLICATION 권한을 이용해 악성 논리적 디코딩 플러그인을 로드하여 임의 코드 실행
🛡️ 대응 방법
PostgreSQL을 최신 보안 패치 버전(18.6, 17.11, 16.15, 15.19, 14.24 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전보다 낮은지 확인하십시오.
psql --version | grep -E 'PostgreSQL (18\[\.\d+\]|17\.\d+|16\.\d+|15\.\d+|14\.\d+)'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-08-20 · sec_notice
PostgreSQL 제품에서 버퍼 오버플로우, SQL 인젝션, 타입 혼동 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 구버전(14.x ~ 18.x 미만)을 사용하는 사용자는 보안 패치가 적용된 최신 버전으로 업데이트해야 합니다.