🇰🇷 한글 설명
MariaDB 11.4.1부터 11.4.10, 11.8.1부터 11.8.6, 12.3.1 버전에서 역할(Role)을 통해 저장 프로시저 실행 권한을 얻은 사용자가 SHOW CREATE ROUTINE 권한이 없어도 프로시저 정의를 열람할 수 있는 취약점입니다. 이 문제는 11.4.11, 11.8.7, 12.3.2 버전에서 패치되었습니다.
💡 쉬운 설명
데이터베이스의 저장 프로시저 코드를 볼 수 있는 권한이 없는 사용자도, 실행 권한만 있으면 코드를 볼 수 있게 되는 문제입니다. 이는 보안상 민감한 로직이 노출될 수 있으므로 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
MariaDB server is a community developed fork of MySQL server. From versions 11.4.1 to before 11.4.11, 11.8.1 to before 11.8.7, and 12.3.1, a user getting EXECUTE access to a stored routine via a role, could see the routine definition even without SHOW CREATE ROUTINE privilege. This issue has been patched in versions 11.4.11, 11.8.7, and 12.3.2.
📍 영향받는 시스템
MariaDB 11.4.1-11.4.10, 11.8.1-11.8.6, 12.3.1
⚔️ 공격 벡터
저장 프로시저 실행 권한을 가진 사용자가 SHOW CREATE ROUTINE 권한 없이 프로시저 정의를 조회
🛡️ 대응 방법
MariaDB를 11.4.11, 11.8.7 또는 12.3.2 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 11.4.11, 11.8.7, 12.3.2 이상이면 패치된 버전이며, 그 이전 버전이면 취약합니다.
mariadb --version 2>/dev/null | grep -oP '\d+\.\d+\.\d+'