🇰🇷 한글 설명
Tinyauth 5.1.0 미만 버전에서 인증되지 않은 원격 공격자가 존재하지 않는 사용자 이름으로 다수의 로그인 요청을 보내 전역 로그인 잠금 상태를 활성화할 수 있습니다. 이로 인해 정상적인 사용자들이 로그인 시 HTTP 429 오류를 받으며 약 300초 동안 접속이 차단되는 서비스 거부(DoS) 상태가 발생합니다.
💡 쉬운 설명
해커가 가짜 아이디로 로그인을 계속 시도하여 시스템 전체의 로그인 기능을 일시적으로 마비시키는 공격입니다. 이로 인해 실제 사용자들이 로그인을 하지 못하는 불편을 겪게 됩니다.
🇺🇸 원문 (English)
Tinyauth is an authentication and authorization server. Prior to 5.1.0, an unauthenticated remote attacker can send POST /api/user/login requests with 257 distinct nonexistent usernames to fill MaxLoginAttemptRecords and activate a global login lockdown. internal/controller/user_controller.go loginHandler passes each attacker-controlled identifier to internal/service/auth_service.go RecordLoginAttempt, which invokes lockdownMode after the map reaches its cap. IsAccountLocked checks that global state before validating unrelated accounts, causing valid users to receive HTTP 429 until auth.loginTimeout expires, approximately 300 seconds by default. The attack can be repeated, but existing authenticated sessions are not invalidated. This issue is fixed in version 5.1.0.
📍 영향받는 시스템
Tinyauth 5.1.0 미만 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 존재하지 않는 257개의 사용자 이름으로 POST /api/user/login 요청을 전송
🛡️ 대응 방법
Tinyauth를 5.1.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 5.1.0 미만(예: 5.0.x)이면 취약한 상태입니다.
curl -s http://<target-ip>/api/version | grep -E '5\.[0-9]'