🇰🇷 한글 설명
Atlassian Connect Spring Boot(ACSB) 1.1.0 버전부터 2.1.3 미만 버전에서 발생하는 인증 결함입니다. 라이프사이클 엔드포인트에서 서버 간 JWT 대신 컨텍스트 JWT를 잘못 허용하여, 공격자가 인증된 재설치 이벤트를 전송할 수 있습니다.
💡 쉬운 설명
앱의 설치나 설정 단계에서 보안 검사가 제대로 이루어지지 않는 문제입니다. 이를 통해 공격자가 마치 정상적인 설치 과정인 것처럼 속여 앱에 잘못된 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Broken Authentication in Atlassian Connect Spring Boot (ACSB) from version 1.1.0 before version 2.1.3: Atlassian Connect Spring Boot is a Java Spring Boot package for building Atlassian Connect apps. Authentication between Atlassian products and the Atlassian Connect Spring Boot app occurs with a server-to-server JWT or a context JWT. Atlassian Connect Spring Boot versions from version 1.1.0 before version 2.1.3 erroneously accept context JWTs in lifecycle endpoints (such as installation) where only server-to-server JWTs should be accepted, permitting an attacker to send authenticated re-installation events to an app.
📍 영향받는 시스템
Atlassian Connect Spring Boot (ACSB) version 1.1.0 to 2.1.2
⚔️ 공격 벡터
라이프사이클 엔드포인트에 허용되지 않은 컨텍스트 JWT를 전송하여 인증을 우회함
🛡️ 대응 방법
Atlassian Connect Spring Boot를 2.1.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
프로젝트 설정 파일이나 의존성 관리 파일에서 ACSB 버전이 2.1.3 미만인지 확인합니다.
grep -r "version" . | grep -E '1\.[1-2]\.'