🇰🇷 한글 설명
Memcached 1.2.8 미만 버전 및 MemcacheDB 1.2.0의 process_stat 함수에서 정보 유출 취약점이 발견되었습니다. 공격자가 stats maps 또는 stats malloc 명령을 보내면 메모리 영역 위치와 할당 통계 정보를 획득할 수 있으며, 이를 통해 ASLR 보호 기법을 무력화할 수 있습니다.
💡 쉬운 설명
해커가 특수한 명령어를 보내 메모리가 컴퓨터 어디에 저장되어 있는지 알아낼 수 있는 문제입니다. 이 정보를 알게 되면 보안 방어막을 뚫고 다른 공격을 수행하기가 훨씬 쉬워집니다.
🇺🇸 원문 (English)
The process_stat function in (1) Memcached before 1.2.8 and (2) MemcacheDB 1.2.0 discloses (a) the contents of /proc/self/maps in response to a stats maps command and (b) memory-allocation statistics in response to a stats malloc command, which allows remote attackers to obtain sensitive information such as the locations of memory regions, and defeat ASLR protection, by sending a command to the daemon's TCP port.
📍 영향받는 시스템
Memcached < 1.2.8, MemcacheDB 1.2.0
⚔️ 공격 벡터
TCP 포트를 통해 악성 stats 명령어를 전송하는 원격 공격
🛡️ 대응 방법
Memcached를 1.2.8 이상 버전으로 업데이트하거나 MemcacheDB를 최신 버전으로 패치하십시오.
🔧 검증 코드
출력된 Memcached 버전이 1.2.8 미만인지 확인하십시오.
memcached -v 2>/dev/null | grep -E 'Memcached'