🇰🇷 한글 설명
IBM Cloud Pak Foundational Services Identity Provider(idP) API에서 유효하지 않은 토큰으로도 CRUD 작업이 가능한 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 IdP 설정을 조회, 수정, 삭제 또는 생성할 수 있습니다.
💡 쉬운 설명
로그인 인증을 확인하는 과정에 허점이 있어, 아무런 권한이 없는 외부인이 시스템의 사용자 인증 설정을 마음대로 바꿀 수 있는 문제입니다. 공격자가 계정 관리 방식을 조작하여 시스템 전체의 보안을 무너뜨릴 위험이 있습니다.
🇺🇸 원문 (English)
IBM Cloud Pak Foundational Services Identity Provider (idP) API (IBM Cloud Pak for Automation 18.0.0, 18.0.1, 18.0.2, 19.0.1, 19.0.2, 19.0.3, 20.0.1, 20.0.2, 20.0.3, 21.0.1, 21.0.2, 21.0.3, 22.0.1, and 22.0.2) allows CRUD Operations with an invalid token. This could allow an unauthenticated attacker to view, update, delete or create an IdP configuration. IBM X-Force ID: 261130.
📍 영향받는 시스템
IBM Cloud Pak for Automation 18.0.0 ~ 22.0.2 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 유효하지 않은 토큰을 사용하여 API에 접근하여 설정 조작
🛡️ 대응 방법
IBM에서 제공하는 최신 보안 패치를 적용하여 API 인증 검증 로직을 업데이트해야 합니다.
🔧 검증 코드
출력된 패키지 목록 중 취약한 버전 범위(18.0.0 ~ 22.0.2)가 포함되어 있는지 확인합니다.
rpm -qa | grep -E 'ibm-cloud-pak-for-automation'