🇰🇷 한글 설명
ownCloud 설치 루틴이 PostgreSQL 데이터베이스 사용자 암호 생성 시 time() 함수를 난수 시드로 사용하여 암호 예측 가능성이 높아졌습니다. 공격자는 제한된 시간 범위의 난수만 시도하면 되므로 무차별 대입 공격으로 쉽게 암호를 획득할 수 있습니다.
💡 쉬운 설명
ownCloud 설치 시 데이터베이스 암호가 약한 방법으로 생성되어 해커가 쉽게 암호를 맞힐 수 있습니다. 설치 시간만 알면 가능한 암호의 개수가 매우 적어집니다.
🇺🇸 원문 (English)
The installation routine in ownCloud Server before 4.0.14, 4.5.x before 4.5.9, and 5.0.x before 5.0.4 uses the time function to seed the generation of the PostgreSQL database user password, which makes it easier for remote attackers to guess the password via a brute force attack.
📍 영향받는 시스템
ownCloud Server 4.0.14 미만, 4.5.9 미만, 5.0.4 미만
⚔️ 공격 벡터
설치 시간대를 기준으로 제한된 time() 값 범위를 이용한 PostgreSQL 암호 무차별 대입 공격
🛡️ 대응 방법
영향받는 버전을 최신 패치 버전(4.0.14 이상, 4.5.9 이상, 5.0.4 이상)으로 업그레이드하고 PostgreSQL 사용자 암호를 강력한 난수로 수동 변경
🔧 검증 코드
설치된 ownCloud 버전을 확인하여 4.0.14, 4.5.9, 5.0.4 미만인지 확인하면 취약점 여부 판단 가능
dpkg -l | grep -i owncloud || rpm -qa | grep -i owncloud