🇰🇷 한글 설명
phpBB 2.0.19의 gen_rand_string 함수가 활성화 키(검증 ID)를 생성할 때 무작위성이 부족한 데이터를 사용합니다. 이로 인해 원격 공격자가 키를 쉽게 예측하여 기존 계정의 비밀번호를 변경하거나 새로운 계정을 생성할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
비밀번호 설정 시 사용하는 인증 번호가 너무 단순하게 만들어져 해커가 쉽게 맞출 수 있는 문제입니다. 이를 통해 타인의 계정을 가로채거나 권한 없는 계정을 만들 수 있습니다.
🇺🇸 원문 (English)
The gen_rand_string function in phpBB 2.0.19 uses insufficiently random data (small value space) to create the activation key ("validation ID") that is sent by e-mail when establishing a password, which makes it easier for remote attackers to obtain the key and modify passwords for existing accounts or create new accounts.
📍 영향받는 시스템
phpBB 2.0.19 및 이전 버전
⚔️ 공격 벡터
예측 가능한 활성화 키(Validation ID)를 이용한 무작위 대입 및 예측 공격
🛡️ 대응 방법
phpBB를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 phpBB 버전이 2.0.19로 표시되면 해당 취약점에 노출된 버전입니다.
grep -r "VERSION" . | grep "2.0.19"