PostgreSQL credcheck 6.0, PgBouncer 인증 정책 지원·권한 상승 취약점 수정

PostgreSQL 확장 credcheck 6.0이 PgBouncer 환경에서 인증 실패 횟수 제한과 첫 로그인 후 비밀번호 변경 기능을 지원한다. 역할을 만들지 않고 비밀번호 정책을 검사하는 함수와 선택형 로그인 이력도 추가했다. 권한 상승·힙 오버플로 문제를 수정했으며, 업그레이드에는 PostgreSQL 재시작이 필요하다.

내용·출처 업데이트 · 2026. 10. 18. 오전 10:11

credcheck는 계정 생성·비밀번호 변경·사용자 이름 변경 시 자격 증명 정책을 검사하는 PostgreSQL 라이선스 확장이다.

PgBouncer에서 max_auth_failure와 password_change_first_login 기능을 사용할 수 있도록 했다.

새 credcheck.password_valid_min 설정은 신규 역할의 비밀번호 유효기간을 짧게 제한한다. 첫 로그인 변경 요구 오류를 지원하지 않는 클라이언트에 대응하기 위한 기능이다.

선택형 로그인 이력에는 사용자명·로그인 시각·세션 길이·백엔드 PID·접속 IP와 포트, 선택적으로 마지막 SQL을 기록한다. 서버 시작·종료·충돌 표시도 남긴다.

pg_check_password 함수로 역할 생성·변경 없이 사용자명과 후보 비밀번호가 정책을 충족하는지 검사한다.

password_valid_until 설정 시 자기 계정의 ALTER ROLE을 통한 권한 상승 문제와 메모리 누수·힙 오버플로를 수정했다.

연결 풀을 사용하는 환경에서도 인증 정책을 적용하고, 계정 생성 전에 후보 비밀번호를 검사할 수 있다.