🇰🇷 한글 설명
Orca HCM 디지털 학습 플랫폼의 관리 페이지에서 신원 확인 절차를 수행하지 않는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 로그인 없이 관리 기능을 실행하여 회원 정보에 접근하거나, 시스템 내 강의를 수정 및 삭제하여 학습 콘텐츠 접근을 방해할 수 있습니다.
💡 쉬운 설명
관리자 페이지에 로그인하지 않고도 누구나 들어갈 수 있는 보안 구멍이 발견되었습니다. 해커가 몰래 들어와 회원 정보를 훔쳐보거나 강의 내용을 마음대로 지울 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
The management page of the Orca HCM digital learning platform does not perform identity verification, which allows remote attackers to execute the management function without logging in, access members’ information, modify and delete the courses in system, thus causing users fail to access the learning content.
📍 영향받는 시스템
Orca HCM digital learning platform (관리 페이지 기능 포함 버전)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 관리 페이지에 직접 접근하여 권한 없이 관리 기능 수행
🛡️ 대응 방법
관리 페이지에 대한 강력한 인증 메커니즘(ID/PW 및 2FA 등)을 적용하고 접근 제어 목록(ACL)을 설정하십시오.
🔧 검증 코드
관리 페이지 접속 시 로그인 창 없이 HTTP 200 OK 응답이 반환되면 인증 없이 접근 가능한 취약한 상태입니다.
curl -I -s http://<target_ip>/management_page_path | grep -E 'HTTP/1.1 200 OK'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access