🇰🇷 한글 설명
phpMyAdmin에서 사용자가 blowfish_secret 키를 지정하지 않으면 런타임에 약한 알고리즘으로 생성되어, 공격자가 이를 추론하여 쿠키를 복호화할 수 있습니다.
💡 쉬운 설명
phpMyAdmin이 보안 암호화 키를 약하게 만드는 문제입니다. 공격자가 이 키를 추측해서 사용자의 암호화된 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in phpMyAdmin. When the user does not specify a blowfish_secret key for encrypting cookies, phpMyAdmin generates one at runtime. A vulnerability was reported where the way this value is created uses a weak algorithm. This could allow an attacker to determine the user's blowfish_secret and potentially decrypt their cookies. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.
📍 영향받는 시스템
phpMyAdmin 4.6.x (4.6.5 이전), 4.4.x (4.4.15.9 이전), 4.0.x (4.0.10.18 이전)
⚔️ 공격 벡터
약한 blowfish_secret 생성 알고리즘을 악용하여 쿠키 암호화 키를 추론하고 복호화
🛡️ 대응 방법
phpMyAdmin을 4.6.5, 4.4.15.9, 4.0.10.18 이상 버전으로 업그레이드하거나 config.inc.php에서 강력한 blowfish_secret 설정
🔧 검증 코드
설치된 phpMyAdmin 버전이 4.6.5, 4.4.15.9, 4.0.10.18 이상인지 확인하여 패치 적용 여부 판단
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin | awk '{print $3}'