디지털오션(DigitalOcean)의 1-click droplet 설치 취약점 발견

SecurityWeek에 따르면, 디지털 오션 (DigitalOcean)의 1-click droplet 설치시 MySql 비밀번호가 모두 기본 비밀번호로 설정되는 취약점이 발견되었다고 한다. 디지털 오션은 클라우드 서버를 제공하는 업체로, 시그니쳐 기능인 1-click droplet을 통한 다양한 플랫폼의 원클릭 설치를 지원한다. 그 중 Ubuntu 14, 16, 17 과 Debian 7, 8에 MySql 설치를 하는 droplet의 경우 같은 비밀번호를 공유한다. 이 문제는 droplet을 클론하면서 비밀번호를 각 인스턴스마다 랜덤화 하지 않아서 생긴 것으로, 디지털 오션은 해당 문제점을 각 인스턴스마다 고유의 비밀번호를 랜덤생성하는 것으로 업데이트 하였으며, 기존에 이미 생성된 인스턴스의 경우 비밀번호를 바꾸는 스크립트를 제공했다. 

출처: http://www.securityweek.com/digitalocean-warns-vulnerability-affecting-cloud-users