StackGres 환경에서 특정 데이터베이스를 소유한 낮은 권한의 테넌트가 추가 권한 요청 없이 StackGres operator의 취약점을 이용해 관리자 권한을 획득할 수 있으며, 이 과정에서 시스템의 기밀성, 무결성, 가용성이 모두 심각한 영향을 받을 수 있습니다.
CVE-2026-78155 개요: 무엇이 확인되었나
CVE-2026-78155는 OnGres의 StackGres operator에 존재하는 권한 상승 취약점입니다. NVD(National Vulnerability Database)에는 2026년 8월 23일 수신되었고, CVE 발급 기관(CNA)은 GitLab Inc.로 확인되었습니다.
취약점의 핵심은 운영 환경에서 낮은 권한의 테넌트가 적절한 권한 제어 절차를 거치지 않고도 관리자 수준의 권한에 도달하는 경로가 열려 있다는 점입니다. 특히 다중 테넌트 환경을 운영하는 인프라 엔지니어와 보안 담당자에게는 테넌트 간 격리가 무너질 수 있는 치명적인 보안 리스크입니다.
취약점 상세: 낮은 권한 테넌트의 관리자 권한 획득 경로
이 취약점은 StackGres operator의 설계 또는 구현상 남은 허점에서 비롯됩니다. 구체적으로는 데이터베이스를 소유한 낮은 권한의 테넌트가 특정 경로로 관리자 권한을 획득하는 구조입니다.
약점 유형: CWE-426 (Untrusted Search Path)
약점 유형은 CWE-426(Untrusted Search Path, 신뢰할 수 없는 검색 경로)으로 분류됩니다. 프로그램이 실행 파일을 찾을 때 신뢰할 수 없는 경로를 검색 대상에 포함하기 때문에, 공격자가 악의적인 코드가 담긴 파일을 해당 경로에 배치해 관리자 권한으로 실행되게 만드는 전형적인 경로 조작 취약점입니다.
CVSS 3.1 9.9(Critical) 점수와 벡터 해석
CVE-2026-78155의 위험도는 매우 높게 평가됐습니다. CNA인 GitLab Inc.가 제시한 CVSS 3.1 기본 점수는 9.9점으로 ‘CRITICAL’ 등급에 해당합니다.
상세 CVSS 벡터 분석 결과는 다음과 같습니다.
- 벡터:
AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H - 공격 벡터(AV:N): 네트워크를 통해 원격에서 공격이 가능합니다.
- 공격 복잡도(AC:L): 공격에 필요한 복잡도가 낮습니다.
- 필요 권한(PR:L): 낮은 수준의 권한만으로 공격할 수 있습니다.
- 사용자 상호작용(UI:N): 사용자의 개입 없이 공격이 이루어집니다.
- 범위(S:C): Scope가 Changed로, 취약점이 있는 구성 요소 밖의 다른 구성 요소(관리자 권한 영역 등)에 영향을 미칩니다.
- 영향도(C/I/A:H): 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 모두 High 수준의 심각한 영향을 받습니다.
영향 범위 및 버전 정보
이 취약점은 OnGres의 StackGres 제품군에 영향을 미치며, 구체적인 영향 버전은 다음과 같습니다.
| 벤더 | 제품명 | 영향을 받는 버전 (Affected) | 상태 |
|---|---|---|---|
| OnGres | StackGres | semver 0부터 1.18.8 이하 ( | Affected |
기본적으로 1.18.8 이하 버전은 취약한 상태이며, 그 외 버전은 영향이 없는(unaffected) 것으로 분류됩니다. 참고로 근거 장부에 StackGres 1.19.0 태그가 존재하는 것도 확인되었습니다.
NVD와 CNA 점수 상태 분석
CVSS 점수를 볼 때 주의할 점이 하나 있는데, 분석 주체에 따라 상태가 다릅니다.
- CNA(GitLab Inc.): 9.9점의 Critical 점수를 부여했으며, 현재는 이 수치가 가장 신뢰할 수 있는 값으로 활용됩니다.
- NVD(National Vulnerability Database): 자체적인 CVSS 평가를 아직 제공하지 않은 상태(N/A)이며, ‘NVD assessment not yet provided’라고 명시하고 있습니다.
현재 공개된 9.9점은 어디까지나 CNA의 평가 결과이며, NVD의 최종 분석 결과는 추후 갱신될 예정이라는 점을 참고해 두면 좋습니다.
대응 권고 및 미확인 사항
인프라 엔지니어 및 보안 담당자라면 다음 대응 방안을 검토하십시오.
대응 권고 사항
- 버전 점검: 현재 운영 중인 StackGres 버전이 1.18.8 이하인지 즉시 확인해야 합니다.
- 권한 재점검: 낮은 권한의 테넌트가 데이터베이스 소유권을 보유한 경우, 해당 계정의 활동 로그를 모니터링하고 불필요한 권한 부여가 있었는지 점검하십시오.
- Operator 격리 점검: StackGres operator가 실행되는 환경의 격리 수준을 점검해서, 테넌트가 관리자 영역으로 진입할 수 있는 경로를 최소화하는 것이 좋습니다.
현재 미확인 사항 (주의)
보안 담당자 입장에서는 아래 정보가 아직 공식적으로 확인되지 않았음을 인지하고 과도한 일반화를 경계할 필요가 있습니다.
- 정확한 패치 버전: 1.19.0 태그가 존재하긴 하나, 해당 버전이 이 취약점을 완전히 해결한 패치 버전인지는 추가 확인이 필요합니다.
- 공격 가능성 확인: 공개된 PoC(Proof of Concept)나 실제 야생에서의 악용 사례(wild exploitation)는 확인된 바 없습니다.
- CISA KEV 등재 여부: CISA의 Known Exploited Vulnerabilities(KEV) 카탈로그 등재 여부 역시 확인되지 않았습니다.