🇰🇷 한글 설명
Damstra Smart Asset 2020.7 버전에서 유효한 사용자 이름을 열거할 수 있는 취약점이 발견되었습니다. 로그인 페이지에서 잘못된 사용자 이름과 잘못된 비밀번호를 입력했을 때 서버가 서로 다른 응답을 반환하여 사용자 존재 여부를 확인할 수 있습니다.
💡 쉬운 설명
로그인 화면에서 아이디가 맞는지 틀린지에 따라 컴퓨터가 주는 답변이 달라지는 문제입니다. 이를 통해 공격자가 실제 사용 중인 아이디 목록을 알아낼 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Damstra Smart Asset 2020.7. It is possible to enumerate valid usernames on the login page. The application sends a different server response when the username is invalid than when the username is valid ("Unable to find an APIDomain" versus "Wrong email or password").
📍 영향받는 시스템
Damstra Smart Asset 2020.7
⚔️ 공격 벡터
로그인 페이지에 다양한 사용자 이름을 입력하여 서버의 응답 메시지 차이를 분석하는 방식
🛡️ 대응 방법
애플리케이션 업데이트를 적용하거나, 로그인 실패 시 사용자 존재 여부를 알 수 없도록 응답 메시지를 통일해야 합니다.
🔧 검증 코드
명령어 실행 시 입력한 사용자 이름에 따라 서로 다른 메시지가 출력된다면 취약한 상태입니다.
curl -s -X POST [TARGET_URL]/login -d 'username=testuser&password=password' | grep -E 'Unable to find an APIDomain|Wrong email or password'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server