🇰🇷 한글 설명
Alteryx 서버의 API 요청 처리 과정에서 MongoDB 객체 ID에 대한 권한 검증이 누락된 취약점입니다. 인증된 사용자가 특정 MongoDB 객체 ID를 지정함으로써 다른 사용자의 관리자 API 키 및 개인 스튜디오 API 키를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 데이터 주소(ID)를 직접 입력하여 권한 없이 정보를 훔쳐볼 수 있는 문제입니다. 이 과정에서 관리자용 비밀 키와 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
When processing API requests, the Alteryx server 2022.1.1.42654 and 2024.1 used MongoDB object IDs to uniquely identify the data being requested by the caller. The Alteryx server did not check whether the authenticated user had permission to access the specified MongoDB object ID. By specifying particlar MongoDB object IDs, callers could obtain records for other users without proper authorization. Records retrievable using this attack included administrative API keys and private studio api keys.
📍 영향받는 시스템
Alteryx Server 2022.1.1.42654 및 2024.1 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 특정 MongoDB 객체 ID를 API 요청에 포함하여 전송
🛡️ 대응 방법
Alteryx에서 제공하는 최신 보안 패치 적용 및 API 요청 시 객체 ID에 대한 권한 검증 로직 확인
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 시스템은 패치가 필요한 상태입니다.
curl -s http://<ALTERYX_SERVER_IP>/api/v1/version | grep -E '2022.1.1.42654|2024.1'