🇰🇷 한글 설명
Tuleap Community Edition 및 Enterprise Edition의 SVN 커밋 규칙 및 불변 태그 관리 기능에서 CSRF(교차 사이트 요청 위조) 보호가 누락되었습니다. 공격자는 이를 악용하여 사용자가 의도하지 않은 방식으로 SVN 저장소의 커밋 규칙이나 태그 설정을 변경하도록 유도할 수 있습니다.
💡 쉬운 설명
로그인된 관리자가 악성 링크를 클릭하면, 관리자 모르게 중요한 소스코드 관리 규칙이 변경될 수 있는 보안 취약점입니다. 공격자가 사용자의 권한을 도용하여 시스템 설정을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Tuleap is an Open Source Suite to improve management of software developments and collaboration. Tuleap Community Edition prior to version 16.13.99.1761813675 and Tuleap Enterprise Edition prior to versions 16.13-5 and 16.12-8 don't have cross-site request forgery protection in the management of SVN commit rules and immutable tags. An attacker could use this vulnerability to trick victims into changing the commit rules or immutable tags of a SVN repo. Tuleap Community Edition 16.13.99.1761813675, Tuleap Enterprise Edition 16.13-5, and Tuleap Enterprise Edition 16.12-8 contain a fix for the issue.
📍 영향받는 시스템
Tuleap Community Edition < 16.13.99.1761813675, Tuleap Enterprise Edition < 16.13-5 및 < 16.12-8
⚔️ 공격 벡터
사용자가 공격자가 설계한 악성 웹사이트를 방문하도록 유도하여 권한이 있는 세션을 통해 변조된 요청을 전송함
🛡️ 대응 방법
Tuleap Community Edition 16.13.99.1761813675 이상 또는 Enterprise Edition 16.13-5 및 16.12-8 이상 버전으로 업데이트
🔧 검증 코드
명령어 결과에 패치된 버전 번호가 포함되어 있으면 안전하며, 포함되지 않으면 취약한 상태입니다.
curl -s http://<tuleap-host>/version | grep -E '16.13.99.1761813675|16.13-5|16.12-8'