🇰🇷 한글 설명
Umbraco는 오픈 소스 .NET 콘텐츠 관리 시스템입니다. 10.8.10 및 13.8.1 이전 버전에서 로그인 API 응답 시간을 분석하여 특정 계정의 존재 여부를 확인할 수 있는 취약점이 발견되었습니다.
💡 쉬운 설명
로그인 시도 시 서버가 응답하는 미세한 시간 차이를 이용해 아이디가 존재하는지 알아낼 수 있는 문제입니다. 이를 통해 공격자는 유효한 사용자 계정 목록을 수집할 수 있습니다.
🇺🇸 원문 (English)
Umbraco is a free and open source .NET content management system. Prior to versions 10.8.10 and 13.8.1, based on an analysis of the timing of post login API responses, it's possible to determine whether an account exists. The issue is patched in versions 10.8.10 and 13.8.1. No known workarounds are available.
📍 영향받는 시스템
Umbraco versions prior to 10.8.10 and 13.8.1
⚔️ 공격 벡터
로그인 API 응답 시간 차이를 이용한 타이밍 공격 (Timing Attack)
🛡️ 대응 방법
Umbraco를 버전 10.8.10 또는 13.8.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Umbraco 패키지 버전이 10.8.10 또는 13.8.1보다 낮은지 확인하십시오.
dotnet list package | grep Umbraco