🇰🇷 한글 설명
SAP Commerce Cloud에서 사용자 ID와 비밀번호 인증 시 빈 비밀번호를 허용하는 취약점이 발견되었습니다. 이로 인해 공격자가 비밀번호 없이 시스템에 로그인할 수 있는 위험이 있습니다.
💡 쉬운 설명
로그인할 때 비밀번호를 입력하지 않고 빈칸으로 두어도 로그인이 허용되는 보안 결함입니다. 누구나 아이디만 알면 시스템에 마음대로 들어올 수 있습니다.
🇺🇸 원문 (English)
SAP Commerce Cloud may accept an empty passphrase for user ID and passphrase authentication, allowing users to log into the system without a passphrase.
📍 영향받는 시스템
SAP Commerce Cloud (패치 적용 전 버전)
⚔️ 공격 벡터
인증 과정에서 비밀번호 필드에 아무런 값을 입력하지 않고 로그인을 시도하는 방식
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하여 빈 비밀번호 인증을 차단해야 합니다.
🔧 검증 코드
명령어 실행 후 비밀번호 없이 로그인 성공(200 OK 또는 세션 쿠키 발급) 시 취약한 상태입니다.
curl -X POST -d 'username=admin&password=' http://<target-system>/login