🇰🇷 한글 설명
BusyBox의 httpd 웹 서버에서 시스템 비밀번호 인증을 사용할 때 사용자 존재 여부를 확인할 수 있는 취약점이 발견되었습니다. 특정 빌드 설정에서 인증 실패 동작을 관찰함으로써 공격자가 존재하는 사용자 이름과 존재하지 않는 사용자 이름을 구분할 수 있습니다. 이 취약점은 사용자 이름 열거(Enumeration)로 제한되며, 기본 빌드 환경에서는 영향을 받지 않습니다.
💡 쉬운 설명
로그인 시도 시 발생하는 반응 차이를 이용해 서버에 어떤 아이디가 등록되어 있는지 알아낼 수 있는 문제입니다. 해커가 실제 아이디를 알아내어 다음 공격을 준비하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in BusyBox's httpd web server. When configured with system password authentication, a user existence oracle may exist in certain build configurations. An attacker could distinguish existing from non-existing usernames by observing authentication failure behavior. Impact is limited to username enumeration and requires non-default compile options or uncommon password file states; default BusyBox builds with shadow password support are not affected.
📍 영향받는 시스템
특정 컴파일 옵션이 적용된 BusyBox httpd 웹 서버
⚔️ 공격 벡터
인증 실패 시 발생하는 응답 차이를 관찰하는 사이드 채널 공격 (Username Enumeration)
🛡️ 대응 방법
BusyBox를 최신 버전으로 업데이트하거나, 기본 shadow password 지원이 포함된 표준 빌드 설정을 사용하십시오.
🔧 검증 코드
명령어 결과에 httpd가 포함되어 있는지 확인하고, 사용 중인 BusyBox의 빌드 옵션 및 설정 상태를 점검하십시오.
busybox --help | grep -i httpd