🇰🇷 한글 설명
SAP Commerce Cloud의 Assisted Service Module 내 Webservice API 엔드포인트에서 정보 노출 취약점이 발견되었습니다. 권한이 있는 상담원이 고객을 검색할 때 요청 URL에 고객 데이터가 포함되어 서버 로그에 기록되며, 로그에 접근할 수 있는 공격자가 이를 통해 고객 정보를 탈취할 수 있습니다.
💡 쉬운 설명
고객 정보를 찾는 과정에서 개인정보가 포함된 주소가 서버 기록(로그)에 남는 문제입니다. 로그를 볼 수 있는 권한을 가진 사람이 이 기록을 통해 고객 정보를 몰래 볼 수 있습니다.
🇺🇸 원문 (English)
Webservice API endpoints for Assisted Service Module within SAP Commerce Cloud has information disclosure vulnerability. When an authorized agent searches for customer to manage their accounts, the request url includes customer data and it is recorded in server logs. If an attacker impersonating as authorized admin visits such server logs, then they get access to the customer data. The amount of leaked confidential data however is extremely limited, and the attacker has no control over what data is leaked.
📍 영향받는 시스템
SAP Commerce Cloud (Assisted Service Module 사용 환경)
⚔️ 공격 벡터
서버 로그에 기록된 URL 내 포함된 고객 데이터를 탈취하는 방식
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고, 서버 로그에 민감한 정보가 포함되지 않도록 설정을 변경해야 합니다.
🔧 검증 코드
로그 파일 내에 이메일 등 고객 식별 정보가 URL 파라미터 형태로 평문 노출되어 있는지 확인합니다.
grep -r 'customer' /var/log/sap/commerce/access.log | grep -E '[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}'