🇰🇷 한글 설명
PostgreSQL의 SSL 및 GSS 협상 과정에서 제어되지 않는 재귀 취약점으로 인해, AF_UNIX 소켓에 접근 가능한 공격자가 지속적인 서비스 거부(DoS)를 유발할 수 있습니다. SSL과 GSS가 모두 비활성화된 경우 TCP 소켓 접근만으로도 같은 공격이 가능합니다.
💡 쉬운 설명
PostgreSQL의 보안 연결 설정 과정에 버그가 있어서, 악의적인 요청으로 무한 반복이 발생하고 서버가 멈출 수 있습니다. 서버에 접근 가능한 공격자라면 누구나 이 공격을 실행할 수 있습니다.
🇺🇸 원문 (English)
Uncontrolled recursion in PostgreSQL SSL and GSS negotiation allows an attacker able to connect to a PostgreSQL AF_UNIX socket to achieve sustained denial of service. If SSL and GSS are both disabled, an attacker can do the same via access to a PostgreSQL TCP socket. Versions before PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 are affected.
📍 영향받는 시스템
PostgreSQL 14.22 이하, 15.17 이하, 16.13 이하, 17.9 이하, 18.3 이하
⚔️ 공격 벡터
AF_UNIX 소켓 접근 또는 네트워크 접근 가능한 공격자가 악의적인 SSL/GSS 협상 요청을 통해 무한 재귀 유발
🛡️ 대응 방법
PostgreSQL을 14.23, 15.18, 16.14, 17.10, 18.4 이상으로 업그레이드
🔧 검증 코드
출력된 PostgreSQL 버전이 14.23, 15.18, 16.14, 17.10, 18.4 이상이면 패치 완료됨
psql --version 2>/dev/null || dpkg -l postgresql-client 2>/dev/null | grep postgresql || rpm -q postgresql-server
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
PostgreSQL 제품 보안 업데이트 권고
P4
📅 2026-09-10 · sec_notice
PostgreSQL 제품에서 SQL Injection, Buffer Overflow 등 다양한 보안 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 데이터 유출 및 시스템 권한 탈취를 방지하기 위해 최신 보안 버전으로 업데이트해야 합니다.