🇰🇷 한글 설명
SAP Commerce Cloud의 특정 버전에서 잠긴 B2B 사용자가 비밀번호 찾기 기능을 악용하여 계정 잠금을 해제하고 다시 접근할 수 있는 취약점이 발견되었습니다. Composable Storefront를 사용하는 환경에서 접근 제어가 미흡하여 발생하며, 이는 기밀성과 무결성에 상당한 영향을 미칠 수 있습니다.
💡 쉬운 설명
계정이 잠긴 사용자가 비밀번호 찾기 기능을 이용해 잠금을 강제로 풀고 다시 로그인할 수 있는 보안 결함입니다. 이로 인해 허가되지 않은 사용자가 시스템에 다시 접근할 위험이 있습니다.
🇺🇸 원문 (English)
In SAP Commerce Cloud - versions HY_COM 1905, HY_COM 2005, HY_COM2105, HY_COM 2011, HY_COM 2205, COM_CLOUD 2211, a locked B2B user can misuse the forgotten password functionality to un-block his user account again and re-gain access if SAP Commerce Cloud - Composable Storefront is used as storefront, due to weak access controls in place. This leads to a considerable impact on confidentiality and integrity.
📍 영향받는 시스템
SAP Commerce Cloud (HY_COM 1905, 2005, 2105, 2011, 2205, COM_CLOUD 2211)
⚔️ 공격 벡터
잠긴 B2B 계정으로 비밀번호 찾기(forgotten password) 기능을 악용하여 계정 상태를 변경
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하거나 접근 제어 로직을 수정해야 함
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 시스템은 보안 패치가 필요한 상태입니다.
grep -E 'HY_COM (1905|2005|2105|2011|2205)|COM_CLOUD 2211' sap_commerce_version_info.txt