🇰🇷 한글 설명
LDAP Account Manager(LAM) 8.0 미만 버전에서 PHP OpenSSL 확장이 설치되지 않았거나 암호화가 비활성화된 경우, 세션 파일에 LDAP 사용자 이름과 비밀번호가 평문으로 저장되는 취약점입니다. 이 문제는 8.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인 정보를 저장하는 임시 파일에 비밀번호가 암호화되지 않은 채로 그대로 노출되는 문제입니다. 해커가 이 파일에 접근하면 사용자의 계정 정보를 쉽게 훔칠 수 있습니다.
🇺🇸 원문 (English)
LDAP Account Manager (LAM) is a webfrontend for managing entries (e.g. users, groups, DHCP settings) stored in an LDAP directory. In versions prior to 8.0 the session files include the LDAP user name and password in clear text if the PHP OpenSSL extension is not installed or encryption is disabled by configuration. This issue has been fixed in version 8.0. Users unable to upgrade should install the PHP OpenSSL extension and make sure session encryption is enabled in LAM main configuration.
📍 영향받는 시스템
LDAP Account Manager (LAM) 8.0 미만 버전
⚔️ 공격 벡터
서버 내 세션 파일에 접근 권한을 가진 공격자가 평문으로 저장된 LDAP 자격 증명을 탈취
🛡️ 대응 방법
LAM을 8.0 이상으로 업그레이드하거나, PHP OpenSSL 확장을 설치하고 세션 암호화를 활성화하십시오.
🔧 검증 코드
명령어 결과에 'openssl'이 포함되어 있지 않으면 세션 암호화가 작동하지 않을 위험이 있습니다.