🇰🇷 한글 설명
WordPress용 Login Lockdown & Protection 플러그인의 모든 버전(2.14 포함)에서 IP 차단 우회 취약점이 발견되었습니다. 관리자 이메일 주소를 알고 있는 인증되지 않은 사용자가 불충분하게 무작위적인 $unblock_key를 생성하여 자신의 IP 차단을 해제할 수 있습니다. 이를 통해 공격자는 로그인 시도 제한을 무력화하고 보안 정책을 우회할 수 있습니다.
💡 쉬운 설명
로그인 시도를 여러 번 실패하면 IP가 차단되는 보안 기능이 있는데, 공격자가 이 차단을 스스로 풀 수 있는 암호를 만들어낼 수 있는 문제입니다. 결과적으로 공격자가 차단 걱정 없이 계속해서 로그인을 시도할 수 있게 됩니다.
🇺🇸 원문 (English)
The Login Lockdown & Protection plugin for WordPress is vulnerable to IP Block Bypass in all versions up to, and including, 2.14. This is due to $unblock_key key being insufficiently random allowing unauthenticated users, with access to an administrative user email, to generate valid unblock keys for their IP Address. This makes it possible for unauthenticated attackers to bypass blocks due to invalid login attempts.
📍 영향받는 시스템
WordPress Login Lockdown & Protection plugin (버전 2.14 및 그 이하 모든 버전)
⚔️ 공격 벡터
관리자 이메일 주소를 이용해 예측 가능한 unblock key를 생성하여 IP 차단 기능을 우회함
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 2.14 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'login-lockdown'