🇰🇷 한글 설명
Zammad 7.1.2 미만 버전에서 2단계 인증 로그인 단계 시 계정 잠금이나 속도 제한 없이 무제한 비밀번호 대입이 가능합니다. 또한 2단계 인증 확인 전에도 비밀번호 일치 여부를 응답을 통해 노출하여 무차별 대입 공격(Brute-force)을 용이하게 합니다.
💡 쉬운 설명
로그인할 때 비밀번호를 아무리 많이 틀려도 계정이 잠기지 않아 해커가 비밀번호를 계속 찍어 맞출 수 있는 문제입니다. 또한 비밀번호가 맞았는지 틀렸는지 알려주는 정보가 새어나가 공격이 더 쉬워집니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.1.2, the two-factor login step let an attacker try unlimited password guesses for any account without triggering Zammad's normal lockout or rate limiting. The response also revealed whether a guess was correct, even before two-factor authentication was checked. This made it possible to brute-force weak or reused passwords. This issue is fixed in version 7.1.2.
📍 영향받는 시스템
Zammad 7.1.2 미만 모든 버전
⚔️ 공격 벡터
2단계 인증 단계에서의 무제한 비밀번호 무차별 대입 공격(Brute-force)
🛡️ 대응 방법
Zammad를 최신 보안 패치가 적용된 7.1.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Zammad 버전을 확인하여 7.1.2 미만인지 확인합니다.