SudoWP Adminer (보안 포크)

Contributors: SudoWP, WP Republic
Original Authors: Frank Bültge, Inpsyde
Tags: adminer, database, security, cve-2021-21311, ssrf-patch
Requires at least: 5.8
Tested up to: 6.7
Stable tag: 1.5.0
License: GPLv2 or later

보안 공지 (CVE-2021-21311)

이것은 "Adminer" WordPress 플러그인의 보안 강화 포크입니다.

위협: 표준 Adminer 설치에서는 종종 **SSRF(Server-Side Request Forgery)**가 허용됩니다. 공격자는 로그인 폼을 사용하여 서버가 내부 서비스(예: AWS 메타데이터, 내부 API)에 연결하도록 강제하여 정보를 유출할 수 있습니다.

해결 방법: SudoWP Adminer는 "로컬호스트 전용" 정책을 적용합니다. wp-config.php에 정의된 WordPress 데이터베이스에 대한 연결을 하드코딩하여 SSRF 벡터를 완전히 완화합니다.

** 중요 보안 공지:** 이 플러그인은 Adminer 코어 버전 4.2.4(2015)를 사용합니다. CVE-2021-21311은 패치되었지만, 오래된 코어에는 다른 알려진 취약점이 있을 수 있습니다. 관리자 전용, 로컬호스트 전용 보안 모델은 위험을 크게 줄여줍니다. 자세한 내용은 SECURITY.md를 참조하십시오.

권장 사용:

• 개발 및 스테이징 환경
• 신뢰할 수 있는 비공개 WordPress 설치
• 프로덕션 환경에서는 주의해서 사용

---

설명

SudoWP Adminer는 phpMyAdmin과 유사한 강력한 데이터베이스 관리 인터페이스를 제공하지만, 특히 WordPress 환경에 맞게 보안이 강화되었습니다.

보안 강화 기능

1. SSRF 방지:

   • "서버", "사용자 이름", "비밀번호" 필드가 제거되었습니다.
   • 연결은 로컬 DB_HOST, DB_USER, DB_PASSWORD로 엄격히 제한됩니다.

2. 접근 제어:

   • 관리자 전용: 로드 전에 current_user_can('manage_options')를 엄격히 확인합니다.
   • 직접 접근 차단: 브라우저를 통해 .php 파일에 직접 접근하면 403 Forbidden 오류가 반환됩니다.

3. 자동 로그인:

   • 인증은 WordPress 세션을 통해 처리됩니다. WP Admin에 로그인되어 있으면 데이터베이스에도 로그인됩니다.

설치

1. 저장소를 다운로드합니다.
2. 중요: 기존에 설치된 Adminer 플러그인을 비활성화하고 삭제하십시오.
3. sudowp-adminer 폴더를 /wp-content/plugins/ 디렉토리에 업로드합니다.
4. 플러그인을 활성화합니다.
5. SudoWP Adminer 메뉴 항목을 통해 접근합니다.

변경 내역

버전 1.5.0 (SudoWP 에디션)

• 보안 수정: 중요한 SSRF 취약점(CVE-2021-21311) 패치.
• 보안 수정: "제로 트러스트" 접근 제어(관리자 전용) 구현.
• UX: 원활한 자동 로그인 추가.
• 브랜드 변경: SudoWP Adminer로 포크됨.

---

SudoWP 보안 프로젝트에서 유지 관리합니다.