🇰🇷 한글 설명
vulnerability-lookup의 일부 엔드포인트가 CSRF 토큰 없이 HTTP GET 요청을 통해 애플리케이션 상태를 변경할 수 있는 취약점이 발견되었습니다. 공격자는 로그인된 사용자를 악성 사이트로 유도하여 사용자의 권한으로 데이터베이스 수정이나 설정 변경과 같은 의도하지 않은 동작을 수행하게 할 수 있습니다.
💡 쉬운 설명
로그인된 사용자가 나쁜 사이트에 접속하기만 해도, 사용자가 모르는 사이에 중요한 설정이 바뀌거나 데이터가 수정될 수 있는 보안 허점입니다. 이를 막기 위해 시스템은 중요한 동작을 할 때 반드시 '본인이 맞는지' 확인하는 추가 인증 절차를 거쳐야 합니다.
🇺🇸 원문 (English)
Some endpoints in vulnerability-lookup that modified
application state (e.g. changing database entries, user data,
configurations, or other privileged actions) may have been accessible
via HTTP GET requests without requiring a CSRF token. This flaw leaves
the application vulnerable to Cross-Site Request Forgery (CSRF) attacks:
an attacker who tricks a logged-in user into visiting a malicious
website could cause the user’s browser to issue GET requests that
perform unintended state-changing operations in the context of their
authenticated session.
Because the server would treat these GET requests as valid (since no
CSRF protection or POST method enforcement was in place), the attacker
could exploit this to escalate privileges, change settings, or carry out
other unauthorized actions without needing the user’s explicit consent
or awareness.
The fix ensures that all state-changing endpoints now require HTTP POST
requests and include a valid CSRF token. This enforces that state
changes cannot be triggered by arbitrary cross-site GET requests. This issue affects Vulnerability-Lookup: before 2.18.0.
📍 영향받는 시스템
Vulnerability-Lookup 버전 2.18.0 미만
⚔️ 공격 벡터
사용자를 악성 웹사이트로 유도하여 인증된 세션 상태에서 상태 변경을 유도하는 HTTP GET 요청을 실행함
🛡️ 대응 방법
Vulnerability-Lookup를 2.18.0 이상의 최신 버전으로 업데이트하여 모든 상태 변경 요청에 POST 메서드와 CSRF 토큰을 강제함
🔧 검증 코드
출력된 Version이 2.18.0보다 낮은지 확인하여 취약 여부를 판단합니다.
pip show vulnerability-lookup 2>/dev/null | grep -E 'Version'
💻 영향받는 소프트웨어
IBM WebSphere Application Server