🇰🇷 한글 설명
DHIS2 Core의 Personal Access Tokens(PAT)가 제한 없는 세션 쿠키를 생성하는 취약점이 발견되었습니다. 이로 인해 IP 주소 제한이나 HTTP 메서드 기반의 접근 제어를 우회할 수 있는 위험이 있습니다.
💡 쉬운 설명
특정 인증 토큰을 사용하면 보안 규칙을 무시하고 시스템에 접속할 수 있는 통행증이 만들어지는 문제입니다. 이를 통해 원래 허용되지 않은 장소나 방법으로 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
DHIS2 Core contains the service layer and Web API for DHIS2, an information system for data capture. Starting in the 2.37 branch and prior to versions 2.37.9.1, 2.38.3.1, and 2.39.1.2, Personal Access Tokens (PATs) generate unrestricted session cookies. This may lead to a bypass of other access restrictions (for example, based on allowed IP addresses or HTTP methods). DHIS2 implementers should upgrade to a supported version of DHIS2: 2.37.9.1, 2.38.3.1, or 2.39.1.2. Implementers can work around this issue by adding extra access control validations on a reverse proxy.
📍 영향받는 시스템
DHIS2 Core 2.37 branch (2.37.9.1 미만), 2.38.3.1 미만, 2.39.1.2 미만 버전
⚔️ 공격 벡터
PAT를 통해 생성된 세션 쿠키를 이용하여 기존의 IP 기반 또는 메서드 기반 접근 제어 로직을 우회함
🛡️ 대응 방법
DHIS2를 지원 버전(2.37.9.1, 2.38.3.1, 2.39.1.2 이상)으로 업그레이드하거나 리버스 프록시에서 추가 접근 제어 검증을 적용함
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 버전(2.37.9.1, 2.38.3.1, 2.39.1.2 이상)인지 확인합니다.
curl -s http://<DHIS2_HOST>/api/system/info | grep -E 'version'