PostgreSQL, 52개 보안 취약점과 140여 개 버그 수정한 대규모 업데이트 발표
PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released
PostgreSQL 글로벌 개발 그룹이 18.7, 17.12, 16.16, 15.20, 14.25와 19 RC 2를 내놨다. 이번 릴리스에는 임의 코드 실행으로 이어질 수 있는 다수의 취약점을 포함해 52개 보안 결함과 140여 개 버그 수정이 담겼다. GIN 인덱스 손상, 증분 백업 오류, 파티션 프루닝 누락 등 데이터 정합성에 영향을 주는 문제도 포함돼 업데이트 후 재인덱싱 같은 추가 조치가 필요할 수 있다. PostgreSQL 14는 이번이 마지막 릴리스로 수명이 종료된다.
이 릴리스는 지난 몇 달간 보고된 52개의 보안 취약점과 140개가 넘는 버그를 수정합니다.
HN 토론
12- ianberdin
이 모든 보안 패치들을 보다 보니, 어렸을 때 아파트를 완벽하게 청소하고, 구석구석 먼지 한 톨까지 다 닦아냈는데, 이틀 뒤에 다시 원래대로 돌아와 있던 게 생각났다. 그리고 이런 생각이 들었다. '내 평생 이 짓을 계속해야 하나?'
- firer
CVE-2026-116322(코드 실행은 안 되고 '그저' DoS만 가능)를 제외하면, 이 취약점들은 모두 인증 후(post-auth)에 해당하는 것 같습니다.
약 1년 전에 Wiz의 zeroday.cloud 대회에서 저는 CVE-2026-2004를 발견하고 익스플로잇했는데, 이것 역시 Postgres의 인증 후 RCE입니다.
제가 그 타겟을 선택한 이유는 사용자 입력이 많고 매우 복잡해 보였기 때문입니다. 제 생각에는 애초에 이것을 보안 경계로 정의하는 것 자체가 좋지 않은 생각입니다. 데이터베이스에 대한 접근은 매우 쉽게 코드 실행으로 이어질 수 있습니다. 공격 표면이 너무나도 많으니까요.
대부분의 진지한 클라우드 제공업체들이 바로 이 이유 때문에 자사의 DB 서비스를 샌드박스 처리하는 것입니다. 그리고 올해 zeroday.cloud 대회에서도 바로 이 이유로 인증된 Postgres가 타겟에서 빠졌습니다.
- lfittl
참고로, CVE들의 전체 범위를 이해하려면 릴리스 노트(https://www.postgresql.org/docs/release/18.7/)를 보는 것이 더 쉽다고 느꼈습니다. 공지사항에서는 개별 CVE 페이지로 링크가 걸려 있지만, 훑어보기가 어렵네요.