🇰🇷 한글 설명
권한 부여 설정의 불일치로 인해, 인증된 계정을 가진 외부 공격자가 data.all을 통해 데이터 세트 및 환경에 대해 제한된 작업을 수행할 수 있는 취약점입니다. 이로 인해 권한이 없는 사용자가 허용되지 않은 데이터 조작이나 환경 설정을 변경할 위험이 있습니다.
💡 쉬운 설명
로그인한 사용자라면 원래 할 수 없는 데이터 수정이나 설정 변경을 몰래 할 수 있는 보안 구멍이 발견되었습니다. 권한 관리가 제대로 되지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
Due to inconsistent authorization permissions, data.all may allow an external actor with an authenticated account to perform restricted operations against DataSets and Environments.
📍 영향받는 시스템
data.all 플랫폼 (인증된 계정을 보유한 모든 사용자 환경)
⚔️ 공격 벡터
인증된 계정을 이용한 권한 우회 및 API/데이터 세트 조작
🛡️ 대응 방법
데이터 세트 및 환경에 대한 접근 제어 정책(RBAC)을 재검토하고 권한 불일치 문제를 해결하는 패치 적용
🔧 검증 코드
제한된 리소스에 접근했을 때 'Access Denied'가 아닌 데이터가 출력되면 취약한 상태입니다.
curl -s -X GET https://api.data.all/v1/datasets/restricted-resource -H 'Authorization: Bearer <authenticated_token>' | grep -q 'error' && echo 'Access Denied' || echo 'Potential Vulnerability Detected'