🇰🇷 한글 설명
Identity Security Cloud(ISC) 메시지 서버 API에서 부적절한 접근 제어가 발견되었습니다. 이를 통해 인증된 사용자가 다른 테넌트의 작업 처리 메타데이터(불투명 메시지 ID, 작업 대기열 깊이 및 수량)를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한을 넘어 다른 회사의 작업 처리 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 이로 인해 시스템 운영 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
An improper access control was identified in the Identity Security Cloud (ISC) message server API that allowed an authenticated user to exfiltrate job processing metadata (opaque messageIDs, work queue depth and counts) for other tenants.
📍 영향받는 시스템
Identity Security Cloud (ISC) message server API
⚔️ 공격 벡터
인증된 사용자가 API를 통해 권한이 없는 타 테넌트의 메타데이터에 접근
🛡️ 대응 방법
Identity Security Cloud(ISC)를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
API 호출 시 403 Forbidden 응답이 반환되면 접근 제어가 정상적으로 작동하는 것입니다.
curl -I https://<ISC_API_ENDPOINT>/api/v1/messages/metadata 2>/dev/null | grep -i 'HTTP/1.1 403'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access