🇰🇷 한글 설명
Tuleap 소프트웨어의 트래커 보고서 렌더러 및 차트 위젯 표시 과정에서 권한 검증이 제대로 이루어지지 않는 취약점입니다. 공격자는 이를 악용하여 접근 권한이 없는 트래커의 이름과 보고서에 사용된 필드 이름을 탈취할 수 있습니다.
💡 쉬운 설명
권한이 없는 사용자가 몰래 다른 사람의 프로젝트 이름이나 상세 정보를 훔쳐볼 수 있는 보안 허점입니다. 데이터 자체를 수정할 수는 없지만, 내부 정보를 알아내는 데 사용될 수 있습니다.
🇺🇸 원문 (English)
Tuleap is a Free & Open Source Suite to manage software developments and collaboration. In versions prior to 13.7.99.239 Tuleap does not properly verify authorizations when displaying the content of tracker report renderer and chart widgets. Malicious users could use this vulnerability to retrieve the name of a tracker they cannot access as well as the name of the fields used in reports.
📍 영향받는 시스템
Tuleap 13.7.99.239 미만 모든 버전
⚔️ 공격 벡터
권한 검증이 누락된 보고서 및 차트 위젯 호출을 통한 정보 노출
🛡️ 대응 방법
Tuleap을 최신 보안 패치가 적용된 버전(13.7.99.239 이상)으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 13.7.99.239 이상의 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://<target_ip>/tuleap/version | grep -E '13.7.99.239'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access