🇰🇷 한글 설명
Apache MINA SSHD의 sshd-ldap 구성 요소 내 LdapPasswordAuthenticator에서 인증 확인 절차가 누락되어 인증을 우회할 수 있는 취약점이 발견되었습니다. 이 문제는 LDAP 서버를 통한 비밀번호 인증을 사용하는 환경에서 발생하며, 인증 과정을 거치지 않고 접근이 가능할 수 있습니다.
💡 쉬운 설명
SSH 서버에 로그인할 때 비밀번호를 확인하는 과정 중 중요한 체크 단계가 빠져 있는 상태입니다. 이로 인해 공격자가 올바른 비밀번호 없이도 서버에 몰래 들어올 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
A missing check in LdapPasswordAuthenticator in component sshd-ldap in Apache MINA SSHD versions 1.2.0 to 2.19.0 or 3.0.0-M1 to 3.0.0-M5 bypassed authentication checks.
Apache MINA SSHD is a Java library for client-side and server-side SSH. The optional sshd-ldap component provides support for integrating password and publickey authentication on the server side with an LDAP server.
sshd-ldap is an optional component. SSH servers implemented with Apache MINA SSHD are affected only if they use sshd-ldap and do configure an LdapPasswordAuthenticator to be used for password authentication. Normal password authentication via the built-in mechanisms in sshd-core is _not_ affected by this vulnerability, which concerns only LdapPasswordAuthenticator.
Users are recommended to upgrade affected applications to version 2.20.0 or 3.0.0-M6, which fix this issue.
📍 영향받는 시스템
Apache MINA SSHD versions 1.2.0 to 2.19.0 or 3.0.0-M1 to 3.0.0-M5 (sshd-ldap 사용 시)
⚔️ 공격 벡터
LDAP 인증을 사용하는 SSH 서버에 인증 과정을 우회하여 접근 시도
🛡️ 대응 방법
Apache MINA SSHD를 버전 2.20.0 또는 3.0.0-M6 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 취약한 범위(1.2.0~2.19.0 또는 3.0.0-M1~M5)에 해당하는지 확인하십시오.
mvn dependency:list | grep 'org.apache.sshd:sshd-core'