🇰🇷 한글 설명
Octopus 3.17.7 미만 버전에서 발생하는 취약점입니다. 새로운 사용자를 초대할 수 있는 권한(UserInvite)을 가진 인증된 사용자가 권한이 상승된 사용자를 팀에 초대할 수 있습니다.
💡 쉬운 설명
사용자를 초대할 수 있는 권한을 가진 사람이 원래 허용된 수준보다 더 높은 권한을 가진 사용자를 초대할 수 있는 문제입니다. 이를 통해 공격자는 시스템 내에서 더 큰 통제권을 얻을 수 있습니다.
🇺🇸 원문 (English)
In Octopus before 3.17.7, an authenticated user who was explicitly granted the permission to invite new users (aka UserInvite) can invite users to teams with escalated privileges.
📍 영향받는 시스템
Octopus version 3.17.7 미만
⚔️ 공격 벡터
권한이 있는 인증된 사용자가 팀 초대 기능을 악용하여 높은 권한의 계정을 생성/초대
🛡️ 대응 방법
Octopus를 최신 보안 패치가 적용된 버전인 3.17.7 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 3.17.7 미만의 버전 번호가 출력되면 취약한 상태입니다.
octopus --version 2>/dev/null | grep -E '3\.(1[0-6]|17\.[0-6])'