🇰🇷 한글 설명
다중 속성 로그인이 활성화된 경우, 로그인 인터페이스가 사용자 계정의 존재 여부를 일관되게 숨기지 못하는 취약점이 발견되었습니다. 유효한 사용자의 경우 서버가 정규화된 사용자 이름을 표시하는 반면, 존재하지 않는 사용자의 경우 입력한 값을 그대로 반환하여 계정 존재 여부를 식별할 수 있습니다.
💡 쉬운 설명
로그인 화면에서 아이디를 입력했을 때, 실제 존재하는 아이디인지 아닌지를 시스템이 다르게 반응하여 알려주는 문제입니다. 이를 통해 해커는 어떤 아이디가 실제로 사용 중인지 알아낼 수 있습니다.
🇺🇸 원문 (English)
When Multi-Attribute Login is enabled, the login interface fails to consistently mask the existence of user accounts. For valid users, the server resolves and displays their canonical username, while for non-existent users, it echoes the original input. This occurs regardless of the validate_username configuration.
The discovery of valid usernames can increase the risk of brute force attacks, social engineering attacks, and targeted information leakage. Attackers can leverage this information to craft more effective phishing campaigns or social engineering tactics to compromise user accounts or extract sensitive data.
📍 영향받는 시스템
Multi-Attribute Login 기능이 활성화된 시스템
⚔️ 공격 벡터
로그인 인터페이스의 응답 차이를 이용한 사용자 이름 열거(Username Enumeration)
🛡️ 대응 방법
로그인 시 유효한 사용자와 존재하지 않는 사용자 모두에 대해 동일한 응답과 마스킹 처리를 적용하도록 패치 적용
🔧 검증 코드
입력한 사용자 이름이 서버 응답에서 변환(정규화)되는지 또는 입력값 그대로 출력되는지 확인하여 계정 존재 여부 노출 여부를 판단합니다.
curl -s -X POST -d 'username=testuser' https://target-system/login | grep -E 'canonical_username|input_echo'