🇰🇷 한글 설명
Oracle MySQL과 MariaDB가 존재하지 않는 사용자명에 대해 존재하는 사용자명과 다른 에러 메시지와 응답 시간을 반환하는 취약점입니다. 이를 통해 공격자가 타이밍 분석을 이용해 유효한 사용자명을 열거할 수 있습니다.
💡 쉬운 설명
데이터베이스가 실존하는 사용자와 존재하지 않는 사용자에 대해 다르게 반응해서 어떤 계정이 실제로 있는지 알아낼 수 있는 문제입니다. 공격자가 비밀번호를 맞히기 전에 먼저 유효한 계정명을 찾을 수 있게 해줍니다.
🇺🇸 원문 (English)
Oracle MySQL 5.5.38 and earlier, 5.6.19 and earlier, and MariaDB 5.5.28a, 5.3.11, 5.2.13, 5.1.66, and possibly other versions, generates different error messages with different time delays depending on whether a user name exists, which allows remote attackers to enumerate valid usernames.
📍 영향받는 시스템
Oracle MySQL 5.5.38 이전, 5.6.19 이전 / MariaDB 5.5.28a, 5.3.11, 5.2.13, 5.1.66 및 기타 버전
⚔️ 공격 벡터
데이터베이스 연결 시도 시 에러 메시지 내용과 응답 시간을 비교하여 유효한 사용자명 열거
🛡️ 대응 방법
데이터베이스를 최신 버전(MySQL 5.5.39+, 5.6.20+ 또는 MariaDB 보안 패치)으로 업그레이드
🔧 검증 코드
MySQL/MariaDB 버전이 5.5.38, 5.6.19, 또는 MariaDB 명시 버전 이상이면 취약점이 수정된 상태입니다.
mysql --version 2>/dev/null || dpkg -l 2>/dev/null | grep -E 'mysql-server|mariadb-server'