🇰🇷 한글 설명
Amazon awslabs postgres-mcp-server 1.1.7 미만 버전의 SQL 검증 컴포넌트에서 OS 명령 주입 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 COPY ... TO PROGRAM 문을 사용하여 읽기 전용 모드에서도 호스트 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스를 읽기만 하는 모드임에도 불구하고, 악의적인 명령어를 섞어 보내면 서버의 운영체제를 직접 조종할 수 있는 위험한 보안 결함입니다. 해커가 서버의 제어권을 완전히 가져갈 수 있습니다.
🇺🇸 원문 (English)
An OS command injection weakness in the read-only enforcement of the SQL validation component in Amazon awslabs postgres-mcp-server before 1.1.7 might allow an unauthenticated actor to execute operating system commands on the host of a self-managed PostgreSQL server by placing a crafted COPY ... TO PROGRAM statement into content that is processed when an authenticated user interacts with the MCP server in its default read-only mode.
To remediate this issue, users should upgrade to version 1.1.7 or later.
📍 영향받는 시스템
Amazon awslabs postgres-mcp-server version < 1.1.7
⚔️ 공격 벡터
인증된 사용자가 MCP 서버와 상호작용할 때 조작된 SQL 문(COPY ... TO PROGRAM)을 전달하여 공격
🛡️ 대응 방법
postgres-mcp-server를 1.1.7 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.1.7 미만이면 취약한 상태이며, 1.1.7 이상이면 안전합니다.
pip show postgres-mcp-server 2>/dev/null | grep Version