🇰🇷 한글 설명
Linux 커널의 CIFS 클라이언트에서 디버그 로깅 활성화 시 cifs_set_cifscreds() 함수가 사용자명과 비밀번호를 평문으로 로그에 기록하는 정보 공개 취약점입니다. 로그 파일 접근 권한이 있는 공격자가 인증 정보를 획득할 수 있습니다.
💡 쉬운 설명
Linux 서버에서 네트워크 폴더에 연결할 때 디버그 모드가 켜져 있으면 로그 파일에 비밀번호가 그대로 기록됩니다. 시스템 로그를 볼 수 있는 사람이 누구나 비밀번호를 읽을 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
smb: client: Don't log plaintext credentials in cifs_set_cifscreds
When debug logging is enabled, cifs_set_cifscreds() logs the key
payload and exposes the plaintext username and password. Remove the
debug log to avoid exposing credentials.
📍 영향받는 시스템
Linux kernel을 사용하는 모든 배포판의 CIFS 클라이언트
⚔️ 공격 벡터
시스템 로그 파일(/var/log/, dmesg 등)에 접근하여 평문 자격증명 추출
🛡️ 대응 방법
커널을 최신 패치 버전으로 업데이트하고 운영 환경에서 커널 디버그 로깅 비활성화
🔧 검증 코드
커널 로그에 CIFS 관련 평문 비밀번호가 기록되지 않으면 패치가 적용되었거나 디버그 로깅이 비활성화된 상태입니다.
dmesg | grep -i 'cifs\|credential' || echo 'No CIFS credentials in kernel log'