🇰🇷 한글 설명
Red Hat 3scale API Management Platform(AMP) 2.0.0 미만 버전에서 클라이언트 비밀번호 없이 액세스 토큰을 생성할 수 있는 취약점이 발견되었습니다. 공격자는 이 결함을 악용하여 인증 제어를 우회하고 제한된 API에 접근할 수 있습니다.
💡 쉬운 설명
로그인할 때 필요한 비밀번호를 몰라도 통행증을 마음대로 만들 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 허가되지 않은 중요한 데이터에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Red Hat 3scale (aka RH-3scale) API Management Platform (AMP) before 2.0.0 would permit creation of an access token without a client secret. An attacker could use this flaw to circumvent authentication controls and gain access to restricted APIs. NOTE: some sources have a typo in which CVE-2017-7512 maps to an OpenVPN vulnerability. The proper CVE ID for that OpenVPN vulnerability is CVE-2017-7521. Specifically, CVE-2017-7521 is the correct CVE ID for TWO closely related findings in OpenVPN. Any source that lists BOTH CVE-2017-7512 and CVE-2017-7521 for OpenVPN should have listed ONLY CVE-2017-7521.
📍 영향받는 시스템
Red Hat 3scale (RH-3scale) API Management Platform (AMP) 2.0.0 미만 버전
⚔️ 공격 벡터
클라이언트 비밀번호(Client Secret) 없이 액세스 토큰 생성 요청을 보내 인증 우회
🛡️ 대응 방법
Red Hat 3scale API Management Platform을 2.0.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과의 버전 번호가 2.0.0 미만인지 확인하십시오.
rpm -qa | grep -i '3scale' | awk '{print $1, $2}'