🇰🇷 한글 설명
sudo-rs 버전 0.2.7~0.2.9에서 비밀번호 입력 중 타임아웃이 발생하면 입력된 키스트로크가 콘솔에 에코되어 부분 비밀번호가 노출됩니다. 이는 사회공학 공격이나 물리적 접근을 통한 공격에 악용될 수 있습니다. 버전 0.2.10에서 수정되었습니다.
💡 쉬운 설명
비밀번호를 입력하고 오래 기다리면 입력한 글자들이 화면에 그대로 보일 수 있습니다. 이를 보는 사람이 비밀번호를 알아낼 수 있다는 문제입니다.
🇺🇸 원문 (English)
sudo-rs is a memory safe implementation of sudo and su written in Rust. Starting in version 0.2.7 and prior to version 0.2.10, if a user begins entering a password but does not press return for an extended period, a password timeout may occur. When this happens, the keystrokes that were entered are echoed back to the console. This could reveal partial password information, possibly exposing history files when not carefully handled by the user and on screen, usable for Social Engineering or Pass-By attacks. Version 0.2.10 fixes the issue.
📍 영향받는 시스템
sudo-rs 버전 0.2.7 ~ 0.2.9
⚔️ 공격 벡터
비밀번호 입력 화면에서 타임아웃을 유발하여 에코된 키스트로크를 관찰하고 부분 비밀번호 정보 수집
🛡️ 대응 방법
sudo-rs를 0.2.10 이상 버전으로 즉시 업그레이드
🔧 검증 코드
설치된 sudo-rs 버전이 0.2.10 이상인지 확인하여 패치 적용 여부를 판단합니다.
sudo -V 2>/dev/null | grep -i sudo-rs || dpkg -l 2>/dev/null | grep sudo-rs || rpm -q sudo-rs 2>/dev/null