🇰🇷 한글 설명
Nixpkgs의 MySQL 및 Percona Server NixOS 모듈에서 데이터베이스 초기화 방식의 결함이 발견되었습니다. 이로 인해 동일한 호스트의 권한이 낮은 로컬 사용자나 웹 프로세스가 비밀번호 없이 root 계정으로 로그인할 수 있습니다. 해당 문제는 Nixpkgs 25.11 및 26.05 채널의 수정 사항을 통해 해결되었습니다.
💡 쉬운 설명
컴퓨터 내부의 낮은 권한을 가진 프로그램이 데이터베이스의 관리자 권한을 아무런 비밀번호 없이 탈취할 수 있는 보안 취약점입니다. 이를 통해 공격자는 데이터베이스의 모든 정보를 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Nixpkgs is a collection of software packages that can be installed with the Nix package manager. Prior to the 25.11 and 26.05 channel fixes, the NixOS module for MySQL services.mysql initializes the MySQL database in a way that allows local users, such as unprivileged web or CGI processes on the same host, to log in as the root user without a password when the service is used with mysql or percona-server. This issue is fixed in the 25.11 and 26.05.
📍 영향받는 시스템
Nixpkgs (25.11 및 26.05 채널 이전 버전의 MySQL/Percona-server NixOS 모듈)
⚔️ 공격 벡터
동일한 호스트 내의 권한이 낮은 로컬 사용자 또는 프로세스를 통한 로컬 접근
🛡️ 대응 방법
Nixpkgs를 25.11 또는 26.05 이상의 최신 채널로 업데이트하십시오.
🔧 검증 코드
출력 결과에 25.11 또는 26.05 이상의 버전이 포함되어 있지 않다면 취약한 상태일 수 있습니다.
nix-channel --list | grep -E 'nixos-25.11|nixos-26.05'