🇰🇷 한글 설명
MariaDB MaxScale 23.02.3 이전 버전에서 'maxctrl create service' 명령을 사용할 때 암호화된 비밀번호를 입력하더라도 결과물인 .cnf 파일에는 평문으로 저장되는 취약점이 발견되었습니다. 이로 인해 /var/lib/maxscale/maxscale.cnf.d 경로에 있는 설정 파일이 노출될 경우 비밀번호가 유출될 수 있습니다.
💡 쉬운 설명
비밀번호를 암호화해서 입력해도 시스템 설정 파일에는 암호가 풀린 상태로 그대로 저장되는 문제입니다. 누군가 서버의 설정 파일을 읽을 수 있다면 비밀번호를 쉽게 알아낼 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in MariaDB MaxScale before 23.02.3. A user enters an encrypted password on a "maxctrl create service" command line, but this password is then stored in cleartext in the resulting .cnf file under /var/lib/maxscale/maxscale.cnf.d. The fixed versions are 2.5.28, 6.4.9, 22.08.8, and 23.02.3.
📍 영향받는 시스템
MariaDB MaxScale 23.02.3 미만 버전 (2.5.28, 6.4.9, 22.08.8, 23.02.3 미만 버전 포함)
⚔️ 공격 벡터
서버 내 설정 파일(/var/lib/maxscale/maxscale.cnf.d/*.cnf)에 대한 읽기 권한 탈취를 통한 정보 유출
🛡️ 대응 방법
MariaDB MaxScale을 수정된 버전(2.5.28, 6.4.9, 22.08.8, 23.02.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 MaxScale의 버전이 취약점이 해결된 버전(2.5.28, 6.4.9, 22.08.8, 23.02.3 이상)인지 확인하십시오.
dpkg -l | grep maxscale 2>/dev/null || rpm -qa | grep maxscale