🇰🇷 한글 설명
Octopus Deploy 4.1.9 미만 버전에서 발견된 취약점입니다. 사용자 편집 권한을 가진 사용자가 RoleEdit 또는 TeamEdit 권한을 악용하여 자신에게 시스템 관리자(Administer System) 권한을 부여할 수 있습니다.
💡 쉬운 설명
팀을 수정할 수 있는 권한을 가진 일반 사용자가 몰래 자신을 최고 관리자로 승격시킬 수 있는 보안 결함입니다. 이를 통해 권한이 없는 사용자가 시스템 전체를 제어할 위험이 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Octopus Deploy before 4.1.9. Any user with user editing permissions can modify teams to give themselves Administer System permissions even if they didn't have them, as demonstrated by use of the RoleEdit or TeamEdit permission.
📍 영향받는 시스템
Octopus Deploy 4.1.9 미만 모든 버전
⚔️ 공격 벡터
사용자 편집 권한(RoleEdit 또는 TeamEdit)을 이용한 권한 상승 공격
🛡️ 대응 방법
Octopus Deploy를 4.1.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
API 응답 결과에서 버전이 4.1.9 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target-ip>/api/version | grep -E '4\.(0|1)\.[0-8]'