🇰🇷 한글 설명
Flask-AppBuilder 4.1.3 미만 버전에서 인증된 관리자가 솔트 및 해시된 비밀번호 문자열의 일부를 사용하여 다른 사용자를 조회할 수 있는 취약점이 존재합니다. 공격자는 부분적인 해시 문자열을 필터로 사용하여 특정 사용자의 해시 값을 추론할 수 있습니다. 이 문제는 4.1.3 버전에서 수정되었습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 다른 사용자의 비밀번호 암호화 정보 일부를 알아낼 수 있는 보안 결함입니다. 이를 통해 공격자는 사용자의 비밀번호가 무엇인지 유추할 수 있는 단서를 얻게 됩니다.
🇺🇸 원문 (English)
Flask-AppBuilder is an application development framework built on top of Flask python framework. In versions prior to 4.1.3 an authenticated Admin user could query other users by their salted and hashed passwords strings. These filters could be made by using partial hashed password strings. The response would not include the hashed passwords, but an attacker could infer partial password hashes and their respective users. This issue has been fixed in version 4.1.3. Users are advised to upgrade. There are no known workarounds for this issue.
📍 영향받는 시스템
Flask-AppBuilder versions prior to 4.1.3
⚔️ 공격 벡터
인증된 관리자 계정을 이용한 부분적 해시 문자열 쿼리 필터링
🛡️ 대응 방법
Flask-AppBuilder를 4.1.3 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 4.1.3 미만인지 확인하십시오.
pip show Flask-AppBuilder | grep Version