🇰🇷 한글 설명
TGstation은 BYOND 서버를 관리하는 도구 세트입니다. 취약한 버전에서 공격자가 잘못된 비밀번호로 로그인 엔드포인트를 무차별 대입하면 등록된 Windows 사용자의 사용자 이름을 알아낼 수 있습니다. 이 문제는 버전 5.12.5에서 해결되었습니다.
💡 쉬운 설명
로그인 화면에서 아이디를 계속 대입해 보다 보면, 실제 존재하는 아이디인지 아닌지를 구분할 수 있는 차이점이 발생하는 문제입니다. 이를 통해 공격자가 서버에 등록된 사용자의 아이디를 수집할 수 있습니다.
🇺🇸 원문 (English)
TGstation is a toolset to manage production BYOND servers. In affected versions if a Windows user was registered in tgstation-server (TGS), an attacker could discover their username by brute-forcing the login endpoint with an invalid password. When a valid Windows logon was found, a distinct response would be generated. This issue has been addressed in version 5.12.5. Users are advised to upgrade. Users unable to upgrade may be mitigated by rate-limiting API calls with software that sits in front of TGS in the HTTP pipeline such as fail2ban.
📍 영향받는 시스템
TGstation (5.12.5 미만 버전)
⚔️ 공격 벡터
로그인 엔드포인트에 대한 무차별 대입 공격 (Brute-force)
🛡️ 대응 방법
TGstation을 5.12.5 버전 이상으로 업그레이드하거나, fail2ban 등을 사용하여 API 호출 속도를 제한합니다.
🔧 검증 코드
로그인 시도 시 유효한 사용자 이름과 유효하지 않은 사용자 이름에 대해 서버 응답(에러 메시지 등)이 다르게 나타나는지 확인합니다.
curl -s http://<target_ip>/api/login | grep -i 'error_message_pattern'