🇰🇷 한글 설명
Open ISES Tickets 3.44.2 이전 버전의 import_mdb.php 파일에 MySQL 데이터베이스 접속 자격증명(호스트, 사용자명, 비밀번호, 데이터베이스명)이 하드코딩되어 있습니다. 이 자격증명은 공개 저장소에 커밋되어 있어 누구나 접근할 수 있으며, 배포된 시스템과 일치할 가능성이 높습니다.
💡 쉬운 설명
Open ISES Tickets 소프트웨어에 데이터베이스 비밀번호가 공개된 코드에 그대로 노출되어 있습니다. 공개 GitHub 저장소에서 비밀번호를 읽을 수 있어서 누구나 데이터베이스에 접속할 수 있는 심각한 보안 문제입니다.
🇺🇸 원문 (English)
Open ISES Tickets before 3.44.2 contains hardcoded MySQL database connection credentials (host, username, password, database name) in import_mdb.php. The credentials are embedded in source code committed to the public repository, allowing any reader of the source to obtain valid configuration values that may match deployed installations.
📍 영향받는 시스템
Open ISES Tickets 버전 3.44.2 이전 모든 버전
⚔️ 공격 벡터
공개 저장소의 import_mdb.php 파일에서 하드코딩된 MySQL 자격증명을 읽고 데이터베이스에 직접 접속하여 민감 데이터 탈취
🛡️ 대응 방법
버전 3.44.2 이상으로 즉시 업그레이드하고, 기존에 노출된 자격증명으로 데이터베이스 비밀번호 변경, 환경 변수/보안 설정 파일 기반으로 마이그레이션
🔧 검증 코드
명령어에서 하드코딩된 자격증명(password, username, host)이 출력되면 취약한 상태이며, 아무것도 출력되지 않으면 패치가 적용되었거나 설치 경로가 다릅니다.
grep -E 'password|username|host' /var/www/html/open-ises-tickets/import_mdb.php 2>/dev/null | head -1