🇰🇷 한글 설명
MAGMI 0.7.24 미만 버전에서 데이터베이스 연결 실패 시 기본 자격 증명을 허용하여 발생하는 원격 인증 우회 취약점입니다. 공격자가 웹 서버의 요청 처리량보다 낮은 MySQL 연결 제한을 이용해 의도적으로 연결 오류를 유발한 뒤, 기본 계정 정보를 사용하여 인증을 통과할 수 있습니다.
💡 쉬운 설명
데이터베이스가 너무 바빠서 연결되지 않을 때, 시스템이 보안 검사를 건너뛰고 기본 비밀번호를 허용하는 허점이 있습니다. 공격자가 일부러 시스템을 과부하 상태로 만들어 이 보안 구멍을 통해 침입할 수 있습니다.
🇺🇸 원문 (English)
MAGMI versions prior to 0.7.24 are vulnerable to a remote authentication bypass due to allowing default credentials in the event there is a database connection failure. A remote attacker can trigger this connection failure if the Mysql setting max_connections (default 151) is lower than Apache (or another web server) setting MaxRequestWorkers (formerly MaxClients) (default 256). This can be done by sending at least 151 simultaneous requests to the Magento website to trigger a "Too many connections" error, then use default magmi:magmi basic authentication to remotely bypass authentication.
📍 영향받는 시스템
MAGMI versions prior to 0.7.24
⚔️ 공격 벡터
동시 요청을 통한 MySQL 연결 고갈 유도 후 기본 자격 증명(magmi:magmi)을 이용한 인증 우회
🛡️ 대응 방법
MAGMI를 0.7.24 이상의 최신 버전으로 업데이트하거나 MySQL의 max_connections 설정을 상향 조정하십시오.
🔧 검증 코드
출력된 MAGMI 버전이 0.7.24 미만인지 확인하십시오.
magmi --version 2>/dev/null || echo 'Version check required via package manager'