🇰🇷 한글 설명
PostgreSQL의 timeofday() 함수에서 외부 제어 가능한 format string 취약점이 발견되었습니다. 공격자는 특정 타임존을 이용하여 서버 메모리의 일부를 읽을 수 있습니다. PostgreSQL 14.23, 15.18, 16.14, 17.10, 18.4 이전 버전이 영향을 받습니다.
💡 쉬운 설명
PostgreSQL 데이터베이스의 시간 함수에서 보안 구멍이 발견되었습니다. 이를 악용하면 공격자가 데이터베이스 서버의 민감한 정보를 읽을 수 있습니다.
🇺🇸 원문 (English)
Externally-controlled format string in PostgreSQL timeofday() function allows an attacker to retrieve portions of server memory, via crafted timezone zones. Versions before PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 are affected.
📍 영향받는 시스템
PostgreSQL 14 < 14.23, 15 < 15.18, 16 < 16.14, 17 < 17.10, 18 < 18.4
⚔️ 공격 벡터
PostgreSQL에 접속 가능한 사용자가 timeofday() 함수에 특정 타임존 값을 입력하여 format string 공격으로 메모리 유출
🛡️ 대응 방법
PostgreSQL을 안전한 버전(14.23, 15.18, 16.14, 17.10, 18.4 이상)으로 업그레이드
🔧 검증 코드
출력된 PostgreSQL 버전이 영향받는 범위(14.23 미만, 15.18 미만 등)에 해당하면 취약하며, 해당 범위 이상이면 패치된 상태입니다.
psql -U postgres -c 'SELECT version();' 2>/dev/null | grep -oE 'PostgreSQL [0-9]+\.[0-9]+'