CVE-2026-116239 in pgAdmin
요약
\~에 의해 VulDB • 2026. 10. 31.
pgAdmin 4의 서버 모드에서는 인증 소스별로 계정이 유지되므로, 동일한 사용자 이름이 내부 계정과 LDAP 계정 등 여러 형태로 존재할 수 있습니다. LDAP 또는 Kerberos가 사용자를 인증한 후 pgAdmin은 단순히 사용자 이름만으로 로그인할 계정을 선택하거나, Flask-Security의 로그인 양식이 조회한 계정을 그대로 사용하며, 해당 계정이 실제로 사용자를 인증한 소스(인증 제공자)에서 온 것인지 확인하지 않습니다. 그 결과 세션이 다른 계정(해당 역할, 서버 및 저장된 데이터베이스 비밀번호를 보유함)에 속하게 됩니다:
- 사용자 이름이 내부 계정과 일치하는 LDAP 또는 Kerberos 사용자가 해당 내부 계정으로 로그인됩니다. 여기에는 pgAdmin 초기 설정 시 생성되는 관리자 계정도 포함됩니다. - AUTHENTICATION_SOURCES에서 내부 인증이 LDAP 또는 Kerberos 앞에 나열되어 있는 경우, 로그인 양식의 내부 유효성 검사 단계에서 입력된 이메일 주소에 해당하는 계정을 조회하며, 비밀번호가 일치하지 않더라도 해당 계정을 유지합니다. 이로 인해 Kerbos 사용자는 다른 Kerberos 사용자의 principal을 입력하여 그 사용자 권한으로 로그인할 수 있으며, LDAP 사용자는 자신의 사용자 이름이 포함된 LDAP 계정과 동일한 방식으로 동작할 수 있습니다.
공격에는 pgAdmin 구성에 등록된 LDAP 디렉토리 또는 Kerberos 영역의 유효한 자격 증명이 필요합니다.
해결책은 인증된 사용자 이름과 해당 계정을 인증한 소스를 기준으로 계정을 조회하며, 내부 인증을 제외한 다른 모든 소스에 대해 로그인 양식이 찾은 계정을 더 이상 사용하지 않습니다. 또한 내부 인증의 경우 해당 계정이 실제로 내부 계정인 경우에만 로그인을 허용합니다. 데스크톱 모드는 영향을 받지 않습니다.
이 문제는 pgAdmin 4(9.19 이전 버전)에 영향을 미칩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.