PgBouncer 1.26.1, SCRAM 인증 우회·서비스 거부 취약점 수정

PgBouncer 1.26.1이 SCRAM 인증 우회와 미인증 클라이언트가 유발할 수 있는 서비스 거부 취약점 두 건을 수정했다. 인증 우회는 존재하지 않는 DB에 연결하는 과정에서 발생하며, SCRAM 사용자 한 명의 비밀번호를 알면 관리자·백엔드 슈퍼유저를 포함한 다른 SCRAM 사용자로 로그인할 수 있었다.

내용·출처 업데이트 · 2026. 10. 14. 오후 11:31

CVE-2026-107350은 SCRAM 인증 도중 두 번째 StartupMessage를 처리하면서 발생한 인증 우회다.

CVE-2026-107349는 시작 옵션의 이름이 비어 있을 때 무한 루프를 유발한다. ignore_startup_parameters가 비어 있지 않고 options를 포함하지 않는 설정에서 발생한다.

CVE-2026-107348은 패킷 버퍼 확장 로직의 정수 오버플로로 무한 루프를 유발하며, max_packet_size를 기본값보다 크게 설정한 경우에만 발생한다.

ignore_startup_parameters가 추적 대상 매개변수보다 우선하도록 바꿨다. search_path를 무시하도록 설정하면 1.25의 동작을 복원한다.

계정 하나의 비밀번호 노출이 다른 SCRAM 계정의 권한으로 이어질 수 있어, 일반 사용자 계정만 노출됐더라도 영향 범위를 좁게 보기 어렵다.