🇰🇷 한글 설명
CKAN 데이터 관리 시스템에서 세션 ID 고정 취약점이 발견되었습니다. 서버 측 세션 저장소를 사용하는 설정에서 공격자가 사용자의 세션 ID를 미리 지정할 수 있어 계정 탈취 위험이 있습니다. 이 문제는 CKAN 2.10.9 및 2.11.4 버전에서 수정되었습니다.
💡 쉬운 설명
로그인할 때마다 새로운 열쇠(세션 ID)를 받아야 하는데, 공격자가 미리 만들어둔 열쇠를 사용하게 만드는 보안 허점입니다. 공격자가 이 열쇠를 알게 되면 사용자의 계정으로 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
CKAN is an open-source DMS (data management system) for powering data hubs and data portals. Prior to 2.10.9 and 2.11.4, session ids could be fixed by an attacker if the site is configured with server-side session storage (CKAN uses cookie-based session storage by default). The attacker would need to either set a cookie on the victim's browser or steal the victim's currently valid session. Session identifiers are now regenerated after each login. This vulnerability has been fixed in CKAN 2.10.9 and 2.11.4
📍 영향받는 시스템
CKAN 2.10.9 및 2.11.4 미만 버전 (서버 측 세션 저장소 사용 시)
⚔️ 공격 벡터
공격자가 피해자의 브라우저에 쿠키를 설정하거나 유효한 세션을 탈취하여 세션 ID를 고정함
🛡️ 대응 방법
CKAN을 2.10.9 또는 2.11.4 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.10.9 또는 2.11.4보다 낮은지 확인하십시오.
pip show ckan | grep Version