🇰🇷 한글 설명
OneFuzz 2.12.0 이상의 버전에서 인증 확인 절차가 불완전하여, 임의의 Azure Active Directory 테넌트 사용자가 취약한 OneFuzz 인스턴스에 API 호출을 수행할 수 있습니다. 이로 인해 소프트웨어 취약점, 크래시 정보, 독점 코드와 같은 민감한 데이터에 대한 읽기/쓰기 권한이 탈취될 수 있으며, Azure 컴퓨팅 리소스에서 권한 없는 코드 실행이 가능합니다.
💡 쉬운 설명
보안 테스트 도구인 OneFuzz의 인증 기능에 허점이 있어, 다른 회사의 계정으로도 시스템에 접속할 수 있는 문제입니다. 공격자가 내부 기밀 코드를 훔치거나 서버를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
OneFuzz is an open source self-hosted Fuzzing-As-A-Service platform. Starting with OneFuzz 2.12.0 or greater, an incomplete authorization check allows an authenticated user from any Azure Active Directory tenant to make authorized API calls to a vulnerable OneFuzz instance. To be vulnerable, a OneFuzz deployment must be both version 2.12.0 or greater and deployed with the non-default --multi_tenant_domain option. This can result in read/write access to private data such as software vulnerability and crash information, security testing tools and proprietary code and symbols. Via authorized API calls, this also enables tampering with existing data and unauthorized code execution on Azure compute resources. This issue is resolved starting in release 2.31.0, via the addition of application-level check of the bearer token's `issuer` against an administrator-configured allowlist. As a workaround users can restrict access to the tenant of a deployed OneFuzz instance < 2.31.0 by redeploying in the default configuration, which omits the `--multi_tenant_domain` option.
📍 영향받는 시스템
OneFuzz version 2.12.0 or greater deployed with the --multi_tenant_domain option
⚔️ 공격 벡터
인증된 Azure AD 사용자가 권한이 없는 OneFuzz API에 접근하여 데이터 탈취 및 코드 실행
🛡️ 대응 방법
OneFuzz를 2.31.0 버전 이상으로 업데이트하거나, --multi_tenant_domain 옵션을 제거하여 기본 설정으로 재배포하십시오.
🔧 검증 코드
출력된 버전이 2.12.0 이상이면서 --multi_tenant_domain 옵션이 활성화되어 있는지 확인하십시오.
python3 -c 'import pkg_resources; print(pkg_resources.get_distribution("onefuzz").version)' 2>/dev/null