🇰🇷 한글 설명
Sync-in Server 2.4.1 미만 버전에서 로그인 엔드포인트의 응답 시간 차이를 이용한 타이밍 공격 취약점이 발견되었습니다. 존재하지 않는 계정은 bcrypt 비교 과정을 거치지 않아 응답 속도가 다르며, 이를 통해 공격자가 유효한 사용자 이름이나 이메일 주소를 열거할 수 있습니다.
💡 쉬운 설명
로그인할 때 아이디가 맞는지 틀린지에 따라 서버의 응답 속도가 미세하게 차이 나는 문제입니다. 해커는 이 속도 차이를 측정하여 시스템에 등록된 실제 사용자 아이디를 알아낼 수 있습니다.
🇺🇸 원문 (English)
Sync-in Server is an open-source platform for file storage, sharing, collaboration, and syncing. Versions prior to 2.4.1 contain an observable timing discrepancy in the login endpoint because authentication attempts for nonexistent accounts return without performing the bcrypt comparison used for existing accounts. An unauthenticated attacker can measure response times to enumerate valid usernames or email addresses, facilitating credential-stuffing, password-spraying, and phishing attacks. Version 2.4.1 contains a patch.
📍 영향받는 시스템
Sync-in Server 2.4.1 미만 모든 버전
⚔️ 공격 벡터
로그인 요청에 대한 응답 시간 차이를 측정하는 타이밍 공격(Timing Attack)
🛡️ 대응 방법
Sync-in Server를 최신 패치가 적용된 2.4.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
서로 다른 계정으로 로그인 시도 시 응답 시간(time_total)의 유의미한 차이가 발생하는지 확인합니다.
curl -s -o /dev/null -w "%{time_total}\n" https://<target-server>/login