🇰🇷 한글 설명
PgBouncer 1.25.2 이하 버전에서 SCRAM 인증 시 키 유도 반복 횟수에 대한 상한선이 없어 발생하는 취약점입니다. 악의적인 또는 침해된 PostgreSQL 백엔드가 과도한 CPU 사용을 유발하여 PgBouncer 전체 서비스에 장애를 일으킬 수 있습니다.
💡 쉬운 설명
해커가 조작한 데이터베이스가 PgBouncer에게 너무 많은 계산 작업을 시켜서 컴퓨터를 멈추게 만드는 공격입니다. 이로 인해 PgBouncer를 사용하는 모든 다른 사용자들도 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Missing upper bound on the key derivation iteration count accepted during SCRAM authentication to a backend server in PgBouncer through 1.25.2 allows a malicious or compromised PostgreSQL backend to cause uncontrolled CPU consumption in PgBouncer. The resulting key derivation cannot be interrupted in frontend builds such as PgBouncer. Because PgBouncer serves all clients from a single process, one backend can in this way stop it from serving traffic for every other database and client it is pooling, so the failure of a single backend is not contained.
📍 영향받는 시스템
PgBouncer 1.25.2 및 그 이전 버전
⚔️ 공격 벡터
침해된 PostgreSQL 백엔드 서버를 통한 SCRAM 인증 과정에서의 과도한 CPU 자원 소모 유도
🛡️ 대응 방법
PgBouncer를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.25.2 이하인지 확인하여 취약 여부를 판단합니다.
pgbouncer --version 2>/dev/null || dpkg -l | grep pgbouncer