🇰🇷 한글 설명
WordPress 3.3.1 이하의 wp-admin/setup-config.php에서 MySQL 자격증명 유효성 여부에 따라 다른 오류 메시지를 생성하는 정보 공개 취약점입니다. 공격자는 이 차이를 이용해 일련의 서로 다른 사용자명과 비밀번호로 무차별 대입 공격을 수행할 수 있습니다.
💡 쉬운 설명
WordPress 설치 과정에서 데이터베이스 비밀번호가 맞을 때와 틀릴 때 다른 오류 메시지가 나타나므로, 공격자가 올바른 비밀번호를 더 쉽게 찾을 수 있습니다.
🇺🇸 원문 (English)
wp-admin/setup-config.php in the installation component in WordPress 3.3.1 and earlier generates different error messages for requests lacking a dbname parameter depending on whether the MySQL credentials are valid, which makes it easier for remote attackers to conduct brute-force attacks via a series of requests with different uname and pwd parameters. NOTE: the vendor disputes the significance of this issue; also, it is unclear whether providing intentionally vague error messages during installation would be reasonable from a usability perspective
📍 영향받는 시스템
WordPress 3.3.1 이하 버전의 설치 구성 요소 (wp-admin/setup-config.php)
⚔️ 공격 벡터
wp-admin/setup-config.php에 dbname 파라미터가 없는 요청으로 MySQL 자격증명을 무차별 대입 공격으로 추측
🛡️ 대응 방법
WordPress를 3.3.2 이상 최신 버전으로 업그레이드
🔧 검증 코드
wp-includes/version.php에서 버전 값을 확인하여 3.3.1 이하이면 취약
grep '$wp_version = ' wp-includes/version.php 2>/dev/null