🇰🇷 한글 설명
phpMyAdmin 3.4.x의 show_config_errors.php에서 설정 파일이 없을 때 원격 공격자가 직접 접근하여 에러 메시지를 통해 설치 경로를 포함한 민감한 정보를 노출받을 수 있는 취약점입니다. 이를 통해 공격자는 시스템의 구조를 파악하여 추가 공격을 수행할 수 있습니다.
💡 쉬운 설명
phpMyAdmin의 설정 파일이 없으면 설치된 위치가 에러 메시지로 노출됩니다. 공격자가 이 정보를 이용해 시스템을 더 자세히 파악할 수 있습니다.
🇺🇸 원문 (English)
show_config_errors.php in phpMyAdmin 3.4.x before 3.4.10.2, when a configuration file does not exist, allows remote attackers to obtain sensitive information via a direct request, which reveals the installation path in an error message about this missing file.
📍 영향받는 시스템
phpMyAdmin 3.4.0 ~ 3.4.10.1
⚔️ 공격 벡터
설정 파일이 없는 phpMyAdmin의 show_config_errors.php에 직접 HTTP 요청을 보내 에러 메시지에서 설치 경로 정보 추출
🛡️ 대응 방법
phpMyAdmin을 3.4.10.2 이상으로 업그레이드하거나 config.inc.php 설정 파일을 올바르게 생성
🔧 검증 코드
버전이 3.4.10.2 이상이면 안전, 3.4.10.1 이하면 취약점에 노출
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin | awk '{print $3}'