🇰🇷 한글 설명
Drupal 7.x의 비밀번호 해싱 API에서 특정 요청을 통해 서버의 CPU와 메모리를 과도하게 소비하는 서비스 거부 취약점입니다. Drupal 7.34 이전 버전과 phpass 모듈 6.x-2.1 이전 버전에서 발견되며, 인증 없이 원격에서 공격이 가능합니다.
💡 쉬운 설명
Drupal의 비밀번호 확인 기능에 특별한 요청을 보내면 서버가 과도한 처리로 느려집니다. 이를 반복하면 웹사이트를 사용 불가능하게 만들 수 있습니다.
🇺🇸 원문 (English)
The password hashing API in Drupal 7.x before 7.34 and the Secure Password Hashes (aka phpass) module 6.x-2.x before 6.x-2.1 for Drupal allows remote attackers to cause a denial of service (CPU and memory consumption) via a crafted request.
📍 영향받는 시스템
Drupal 7.0 ~ 7.33, Drupal phpass 모듈 6.x-2.0
⚔️ 공격 벡터
특정 형식의 요청을 비밀번호 해싱 API로 전송하여 과도한 계산 처리 유도
🛡️ 대응 방법
Drupal을 7.34 이상으로 업그레이드하거나 phpass 모듈을 6.x-2.1 이상으로 업데이트
🔧 검증 코드
CHANGELOG.txt 첫 줄에서 Drupal 버전 확인 - 7.34 이상이면 안전, 7.33 이하면 취약
head -1 /var/www/html/CHANGELOG.txt 2>/dev/null || grep -r 'Drupal 7\.' /var/www 2>/dev/null | head -1