🇰🇷 한글 설명
EdgeX Foundry 2.1.1 미만 버전에서 /api/v2/config 엔드포인트가 로컬 미인증 사용자에게 메시지 버스 자격 증명을 노출하는 취약점이 발견되었습니다. 보안 모드가 활성화된 상태에서도 접근 제어를 우회하여 메시지 버스 자격 증명을 탈취할 수 있습니다. 이를 통해 공격자는 데이터를 가로채거나 가짜 데이터를 주입할 수 있습니다.
💡 쉬운 설명
EdgeX Foundry라는 IoT 시스템의 설정 페이지가 보안 설정이 되어 있음에도 불구하고 비밀번호를 아무나 볼 수 있게 허용하는 문제입니다. 해커가 이 비밀번호를 알아내면 시스템에 가짜 정보를 넣거나 중요한 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
EdgeX Foundry is an open source project for building a common open framework for Internet of Things edge computing. Prior to version 2.1.1, the /api/v2/config endpoint exposes message bus credentials to local unauthenticated users. In security-enabled mode, message bus credentials are supposed to be kept in the EdgeX secret store and require authentication to access. This vulnerability bypasses the access controls on message bus credentials when running in security-enabled mode. (No credentials are required when running in security-disabled mode.) As a result, attackers could intercept data or inject fake data into the EdgeX message bus. Users should upgrade to EdgeXFoundry Kamakura release (2.2.0) or to the June 2022 EdgeXFoundry LTS Jakarta release (2.1.1) to receive a patch. More information about which go modules, docker containers, and snaps contain patches is available in the GitHub Security Advisory. There are currently no known workarounds for this issue.
📍 영향받는 시스템
EdgeX Foundry version 2.1.1 미만
⚔️ 공격 벡터
로컬 네트워크의 미인증 사용자가 /api/v2/config API 엔드포인트에 접근하여 메시지 버스 자격 증명을 탈취
🛡️ 대응 방법
EdgeXFoundry Kamakura(2.2.0) 또는 EdgeXFoundry LTS Jakarta(2.1.1) 버전으로 업그레이드
🔧 검증 코드
명령어 실행 결과로 메시지 버스 관련 자격 증명(ID/PW 등)이 평문으로 출력되면 취약한 상태입니다.
curl -s http://localhost:8080/api/v2/config | grep -i 'message_bus'