🇰🇷 한글 설명
phpMyAdmin의 allow/deny 규칙에서 사용자명 매칭 시 타이밍 공격 취약점으로 인해 잘못된 사용자 인식이 발생합니다. 비일정적 실행 시간으로 인해 규칙을 우회하고 사용자명을 추측할 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 사용자 접근 제어가 제대로 작동하지 않을 수 있습니다. 공격자가 응답 시간의 미세한 차이를 이용해 사용자명을 추측하고 접근을 우회할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in phpMyAdmin. Username matching for the allow/deny rules may result in wrong matches and detection of the username in the rule due to non-constant execution time. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.
📍 영향받는 시스템
phpMyAdmin 4.6.x (4.6.5 미만), 4.4.x (4.4.15.9 미만), 4.0.x (4.0.10.18 미만)
⚔️ 공격 벡터
타이밍 공격을 통해 allow/deny 규칙의 username 매칭을 우회하여 비인가 접근 시도
🛡️ 대응 방법
phpMyAdmin을 4.6.5, 4.4.15.9, 또는 4.0.10.18 이상 버전으로 즉시 업그레이드
🔧 검증 코드
설치된 phpMyAdmin 버전을 확인합니다. 4.6.5, 4.4.15.9, 4.0.10.18 이상이면 안전합니다.
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin | awk '{print $3}'