🇰🇷 한글 설명
Nokia AirFrame BMC Web GUI(R18 펌웨어 v4.13.00 미만)에서 다수의 부적절한 접근 제어 취약점이 발견되었습니다. 공격자는 /#settings/* 및 /api/settings/* 경로의 권한 검증 미비점을 악용하여 관리자 권한 없이도 민감한 데이터를 조회하거나 시스템 설정을 변경하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
관리자만 들어갈 수 있는 설정 페이지에 아무나 들어갈 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 중요한 정보를 훔쳐보거나 시스템 설정을 망가뜨려 컴퓨터를 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
Multiple Improper Access Control was discovered in Nokia AirFrame BMC Web GUI < R18 Firmware v4.13.00. It does not properly validate requests for access to (or editing of) data and functionality in all endpoints under /#settings/* and /api/settings/*. By not verifying the permissions for access to resources, it allows a potential attacker to view pages, with sensitive data, that are not allowed, and modify system configurations also causing DoS, which should be accessed only by user with administration profile, bypassing all controls (without checking for user identity).
📍 영향받는 시스템
Nokia AirFrame BMC Web GUI < R18 Firmware v4.13.00
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 API 엔드포인트(/#settings/*, /api/settings/*)에 직접 요청을 보내 권한을 우회함
🛡️ 대응 방법
Nokia AirFrame BMC 펌웨어를 R18 v4.13.00 이상 버전으로 업데이트하십시오.
🔧 검증 코드
응답 결과에서 펌웨어 버전이 v4.13.00 이상인지 확인하여 취약 여부를 판단합니다.
curl -s http://<BMC_IP>/api/settings/version | grep -E 'v4.13.00'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access