🇰🇷 한글 설명
Windows에서 배포되는 MySQL 3.23.2부터 3.23.52 버전의 기본 설정에서 root 계정이 빈 비밀번호(NULL)로 설정되어 있습니다. 원격 공격자는 인증 없이 MySQL 데이터베이스에 root 권한으로 접근할 수 있습니다.
💡 쉬운 설명
MySQL이 처음 설치될 때 관리자 계정 비밀번호가 없어서 누구나 접속할 수 있습니다. 인터넷에 연결된 컴퓨터라면 원격으로 데이터베이스를 완전히 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
The default configuration of the Windows binary release of MySQL 3.23.2 through 3.23.52 has a NULL root password, which could allow remote attackers to gain unauthorized root access to the MySQL database.
📍 영향받는 시스템
Windows 환경의 MySQL 3.23.2 ~ 3.23.52 버전
⚔️ 공격 벡터
원격 공격자가 포트 3306(MySQL 기본 포트)으로 연결하여 빈 비밀번호로 root 계정 로그인 시도
🛡️ 대응 방법
MySQL을 최신 버전으로 업그레이드하거나 root 계정에 강력한 비밀번호를 즉시 설정하고 원격 접근 제한
🔧 검증 코드
MySQL이 3.23.2~3.23.52 버전이면 취약점이 있는 버전입니다. 버전이 출력되지 않거나 더 높은 버전이면 해당 CVE로부터 안전합니다.
mysql -h localhost -u root -e 'SELECT VERSION();' 2>&1 | grep -E '3\.23\.[2-9]|3\.23\.[1-4][0-9]|3\.23\.5[0-2]'