🇰🇷 한글 설명
Atlassian Connect Express(ACE) 3.0.2 버전부터 6.6.0 미만 버전에서 발생하는 인증 결함입니다. 라이프사이클 엔드포인트에서 서버 간 JWT 대신 컨텍스트 JWT를 잘못 수락하여, 공격자가 인증된 재설치 이벤트를 전송할 수 있습니다.
💡 쉬운 설명
앱을 설치하거나 관리할 때 사용하는 보안 열쇠가 잘못 설계되어 보안이 뚫린 상태입니다. 공격자가 가짜 신호를 보내 앱의 설치 과정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Broken Authentication in Atlassian Connect Express (ACE) from version 3.0.2 before version 6.6.0: Atlassian Connect Express is a Node.js package for building Atlassian Connect apps. Authentication between Atlassian products and the Atlassian Connect Express app occurs with a server-to-server JWT or a context JWT. Atlassian Connect Express versions from 3.0.2 before 6.6.0 erroneously accept context JWTs in lifecycle endpoints (such as installation) where only server-to-server JWTs should be accepted, permitting an attacker to send authenticated re-installation events to an app.
📍 영향받는 시스템
Atlassian Connect Express (ACE) version 3.0.2 to 6.5.x
⚔️ 공격 벡터
잘못된 JWT 유형(Context JWT)을 사용하여 라이프사이클 엔드포인트에 인증된 재설치 이벤트 전송
🛡️ 대응 방법
Atlassian Connect Express를 6.6.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 버전 범위가 나타나면 취약한 버전이 설치되어 있는 상태입니다.
npm list @atlassian/connect-express | grep -E 'connect-express@([3-6]\.[0-5]\.|[4-5]\.|6\.[0-5]\.)'