🇰🇷 한글 설명
MySQL 3.23.58 이전 버전에서 언더스코어(_) 문자를 포함한 데이터베이스명에 대한 권한을 가진 로컬 사용자가 유사한 이름의 다른 데이터베이스에도 부당하게 권한을 획득할 수 있는 취약점입니다. 이는 권한 검증 로직의 결함으로 인해 발생합니다.
💡 쉬운 설명
MySQL의 로컬 사용자가 밑줄(_)이 포함된 데이터베이스명을 악용하여 자신이 접근 권한이 없는 다른 데이터베이스에 접근할 수 있습니다. 이를 통해 권한 없는 데이터 조회, 수정, 삭제가 가능해집니다.
🇺🇸 원문 (English)
Unknown vulnerability in MySQL 3.23.58 and earlier, when a local user has privileges for a database whose name includes a "_" (underscore), grants privileges to other databases that have similar names, which can allow the user to conduct unauthorized activities.
📍 영향받는 시스템
MySQL 3.23.58 이하 모든 버전
⚔️ 공격 벡터
로컬 시스템 접근 권한이 있는 사용자가 GRANT 명령으로 언더스코어 포함 데이터베이스명의 권한 메커니즘을 악용하여 유사명 데이터베이스에 접근
🛡️ 대응 방법
MySQL을 3.23.59 이상 패치 버전으로 즉시 업그레이드하고 모든 권한 설정을 재검토 및 정리
🔧 검증 코드
출력된 MySQL 버전이 3.23.59 이상이면 안전하고, 3.23.58 이하이면 취약함
mysql --version 2>/dev/null | head -1