🇰🇷 한글 설명
오픈 소스 .NET CMS인 Umbraco의 특정 버전에서 익명 인증 엔드포인트를 통해 설정된 비밀번호 요구 사항 정보를 노출하는 취약점이 발견되었습니다. 이 정보는 제한적이지만 무차별 대입 공격(Brute Force)을 시도하는 공격자에게 유용한 단서를 제공할 수 있습니다. 해당 문제는 Umbraco 10.8.11 및 13.9.2 버전에서 패치되었습니다.
💡 쉬운 설명
로그인하지 않은 사용자도 웹사이트의 비밀번호 규칙(길이, 특수문자 사용 여부 등)을 몰래 알아낼 수 있는 보안 약점입니다. 공격자가 비밀번호를 맞추기 위해 여러 번 시도할 때 이 규칙을 참고하여 공격 성공 확률을 높일 수 있습니다.
🇺🇸 원문 (English)
Umbraco, a free and open source .NET content management system, has a vulnerability in versions 10.0.0 through 10.8.10 and 13.0.0 through 13.9.1. Via a request to an anonymously authenticated endpoint it's possible to retrieve information about the configured password requirements. The information available is limited but would perhaps give some additional detail useful for someone attempting to brute force derive a user's password. This information was not exposed in Umbraco 7 or 8, nor in 14 or higher versions. The vulnerability is patched in versions 10.8.11 and 13.9.2.
📍 영향받는 시스템
Umbraco versions 10.0.0 - 10.8.10, 13.0.0 - 13.9.1
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 엔드포인트에 요청을 보내 비밀번호 정책 정보를 탈취
🛡️ 대응 방법
Umbraco를 버전 10.8.11 또는 13.9.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Umbraco의 버전을 확인하여 취약한 버전 범위(10.0.0-10.8.10 또는 13.0.0-13.9.1)에 해당하는지 체크합니다.
dotnet list package | grep Umbraco