🇰🇷 한글 설명
Umbraco CMS에서 관리 API의 응답 코드와 응답 시간을 분석하여 특정 계정의 존재 여부를 확인할 수 있는 취약점입니다. Umbraco 14.0.0 버전부터 14.3.2 및 15.1.2 미만 버전이 이에 해당합니다.
💡 쉬운 설명
해커가 시스템에 특정 아이디가 있는지 없는지를 응답 속도 차이를 통해 알아낼 수 있는 보안 약점입니다. 이를 통해 공격자는 실제 존재하는 사용자 계정 정보를 수집할 수 있습니다.
🇺🇸 원문 (English)
Umbraco is a free and open source .NET content management system. Starting in version 14.0.0 and prior to versions 14.3.2 and 15.1.2, it's possible to determine whether an account exists based on an analysis of response codes and timing of Umbraco management API responses. Versions 14.3.2 and 15.1.2 contain a patch. No known workarounds are available.
📍 영향받는 시스템
Umbraco versions 14.0.0 up to (but not including) 14.3.2 and 15.1.2
⚔️ 공격 벡터
관리 API 응답 코드 및 응답 시간 차이를 이용한 사이드 채널 분석
🛡️ 대응 방법
Umbraco를 버전 14.3.2 또는 15.1.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Umbraco 버전을 확인하여 14.3.2 미만 또는 15.1.2 미만인지 확인합니다.
dotnet list package | grep Umbraco