🇰🇷 한글 설명
IBM Business Process Manager(BPM)의 사용자 속성 구현에서 읽기 또는 쓰기 권한에 대한 인증 검증이 누락되었습니다. 이를 통해 인증된 원격 사용자가 REST API 호출을 통해 민감한 정보를 탈취하거나 이메일 알림 설정 및 작업 할당을 수정할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 허가되지 않은 다른 사람의 개인 정보나 설정을 마음대로 보고 고칠 수 있는 보안 결함입니다. 공격자가 이 취약점을 이용하면 업무 흐름을 방해하거나 중요한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
The User Attribute implementation in IBM Business Process Manager (BPM) 7.5.x through 7.5.1.2, 8.0.x through 8.0.1.2, and 8.5.x through 8.5.0.1 does not verify authorization for read or write access to attribute values, which allows remote authenticated users to obtain sensitive information, configure e-mail notifications, or modify task assignments via REST API calls.
📍 영향받는 시스템
IBM BPM 7.5.x ~ 7.5.1.2, 8.0.x ~ 8.0.1.2, 8.5.x ~ 8.5.0.1
⚔️ 공격 벡터
인증된 원격 사용자가 REST API를 호출하여 권한 검증 없이 데이터에 접근
🛡️ 대응 방법
IBM에서 제공하는 최신 보안 패치를 적용하여 사용자 속성 접근 제어 로직을 업데이트하십시오.
🔧 검증 코드
명령어 실행 시 오류 없이 사용자 속성 데이터가 출력된다면 권한 검증 미비로 인한 취약점이 존재할 가능성이 높습니다.
curl -s -u [username]:[password] http://[target_ip]:[port]/bpm/rest/v11/users/[target_user]/attributes | grep -q 'error' || echo 'Potential Vulnerability Detected'
📊 CVSS Vector String
AV:N/AC:M/Au:S/C:P/I:P/A:P
💻 영향받는 소프트웨어
IBM Security Verify Access