🇰🇷 한글 설명
IBM Security Verify Access Appliance 및 Docker 10.0부터 10.0.8 버전에서 비활성화된 계정에 대한 응답 차이로 인해 원격 공격자가 사용자 이름을 열거할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 시스템 내에 존재하는 유효한 사용자 계정 목록을 파악할 수 있습니다.
💡 쉬운 설명
로그인 시도 시 계정이 비활성화되어 있는지 여부를 시스템이 다르게 응답하여, 공격자가 어떤 아이디가 실제로 존재하는지 알아낼 수 있는 문제입니다. 이를 통해 공격자는 공격 대상이 되는 사용자 목록을 수집할 수 있습니다.
🇺🇸 원문 (English)
IBM Security Verify Access Appliance and Docker 10.0 through 10.0.8 could allow a remote attacker to enumerate usernames due to an observable response discrepancy of disabled accounts.
📍 영향받는 시스템
IBM Security Verify Access Appliance, Docker 10.0 ~ 10.0.8
⚔️ 공격 벡터
원격에서 인증 시도 시 발생하는 응답 차이를 이용한 정보 노출
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 10.0.0부터 10.0.8 사이의 버전이 출력되면 취약한 버전이 설치된 상태입니다.
docker --version | grep -E '10\.0\.[0-8]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access