🇰🇷 한글 설명
Debian Linux 2.1과 Red Hat 6.0의 Sudo 1.5에서 로컬 사용자가 sudo로 파일을 프로그램처럼 실행할 때 파일 존재 여부에 따라 다른 오류 메시지가 출력되는 특성을 이용하여 임의 파일의 존재 여부를 파악할 수 있는 정보 공개 취약점입니다.
💡 쉬운 설명
오래된 Sudo 버전에서 실패 메시지를 통해 서버에 어떤 파일이 있는지 없는지 알아낼 수 있는 문제입니다. 공격자가 시스템 구조를 파악하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
Sudo 1.5 in Debian Linux 2.1 and Red Hat 6.0 allows local users to determine the existence of arbitrary files by attempting to execute the target filename as a program, which generates a different error message when the file does not exist.
📍 영향받는 시스템
Debian Linux 2.1, Red Hat 6.0의 Sudo 1.5 버전
⚔️ 공격 벡터
로컬 사용자가 sudo를 통해 파일명을 프로그램으로 실행 시도 시 에러 메시지 차이로 파일 존재 여부 판단
🛡️ 대응 방법
Sudo를 1.5 이상의 최신 보안 패치가 적용된 버전으로 업그레이드
🔧 검증 코드
Sudo 버전이 1.6 이상이면 취약점 해결, 1.5 이하면 즉시 업그레이드 필요
sudo -V 2>/dev/null | grep -oE 'Sudo version [0-9.]+' | awk '{print $3}'