🇰🇷 한글 설명
crypt_blowfish 1.1 이전 버전에서 8비트 문자를 제대로 처리하지 못해 공격자가 패스워드 해시를 알고 있을 때 실제 패스워드를 더 쉽게 알아낼 수 있습니다. PHP 5.3.7 이전, PostgreSQL 8.4.9 이전 등 여러 제품에 영향을 미치는 암호화 알고리즘의 결함입니다.
💡 쉬운 설명
비밀번호를 암호화하는 방식에 약점이 있어서 해커가 암호화된 비밀번호를 보고 원래 비밀번호를 추측하기 더 쉬워졌습니다. 특히 한글이나 특수문자 같은 8비트 문자를 포함한 비밀번호가 더 위험합니다.
🇺🇸 원문 (English)
crypt_blowfish before 1.1, as used in PHP before 5.3.7 on certain platforms, PostgreSQL before 8.4.9, and other products, does not properly handle 8-bit characters, which makes it easier for context-dependent attackers to determine a cleartext password by leveraging knowledge of a password hash.
📍 영향받는 시스템
PHP 5.3.7 이전, PostgreSQL 8.4.9 이전, crypt_blowfish 1.1 이전 및 이를 사용하는 모든 애플리케이션
⚔️ 공격 벡터
패스워드 해시에 대한 사전 공격(dictionary attack) 또는 무차별 대입(brute force)으로 원문 패스워드 복구
🛡️ 대응 방법
PHP를 5.3.7 이상, PostgreSQL을 8.4.9 이상으로 업그레이드하고 기존 사용자 패스워드 재해시화
🔧 검증 코드
PHP 버전이 5.3.7 이상, PostgreSQL이 8.4.9 이상인지 확인하고, 미만이면 즉시 업그레이드 필요
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+' || psql --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'