🇰🇷 한글 설명
ArchiSteamFarm(ASF)의 API 엔드포인트인 `POST /Api/ASF`에서 설정 업데이트 시 `IPCPassword`를 명시하지 않으면 해당 항목이 설정에서 삭제되는 버그가 발견되었습니다. 이로 인해 IPC 인터페이스의 보안 조치가 의도치 않게 제거되어 권한이 없는 사용자가 IPC 인터페이스에 접근할 수 있는 위험이 있습니다.
💡 쉬운 설명
프로그램 설정을 변경할 때 비밀번호 설정이 실수로 지워질 수 있는 오류가 있습니다. 비밀번호가 사라지면 다른 사람이 내 프로그램의 제어 권한을 가질 수 있어 위험합니다.
🇺🇸 원문 (English)
ArchiSteamFarm is a C# application with primary purpose of idling Steam cards from multiple accounts simultaneously. Due to a bug in ASF code `POST /Api/ASF` ASF API endpoint responsible for updating global ASF config incorrectly removed `IPCPassword` from the resulting config when the caller did not specify it explicitly. Due to the above, it was possible for the user to accidentally remove `IPCPassword` security measure from his IPC interface when updating global ASF config, which exists as part of global config update functionality in ASF-ui. Removal of `IPCPassword` possesses a security risk, as unauthorized users may in result access the IPC interface after such modification. The issue is patched in ASF V5.1.2.4 and future versions. We recommend to manually verify that `IPCPassword` is specified after update, and if not, set it accordingly. In default settings, ASF is configured to allow IPC access from `localhost` only and should not affect majority of users.
📍 영향받는 시스템
ArchiSteamFarm (ASF) V5.1.2.4 미만 버전
⚔️ 공격 벡터
설정 업데이트 시 IPCPassword를 누락시켜 IPC 인터페이스의 인증 보안을 무력화함
🛡️ 대응 방법
ASF를 V5.1.2.4 이상 버전으로 업데이트하고, 설정 파일에 IPCPassword가 올바르게 설정되어 있는지 확인하십시오.
🔧 검증 코드
명령어 실행 결과로 IPCPassword 설정값이 출력되지 않는다면 보안 설정이 누락된 상태입니다.
grep -r "IPCPassword" [ASF_CONFIG_PATH] 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access