🇰🇷 한글 설명
Tuleap의 파일 릴리스 시스템에 CSRF(사이트 간 요청 위조) 보호 기능이 누락되어 발생하는 취약점입니다. 공격자는 이를 악용하여 사용자가 의도하지 않은 SVN 저장소의 커밋 규칙이나 불변 태그를 변경하도록 유도할 수 있습니다.
💡 쉬운 설명
로그인된 사용자가 모르는 사이에 공격자가 만든 가짜 링크를 클릭하면, 사용자의 권한으로 중요한 설정이 몰래 바뀌는 보안 약점입니다. 이로 인해 소스 코드 관리 규칙이 공격자에게 유리하게 변경될 위험이 있습니다.
🇺🇸 원문 (English)
Tuleap is an Open Source Suite to improve management of software developments and collaboration. Tuleap Community Edition prior to version 16.13.99.1762267347 and Tuleap Enterprise Edition prior to versions 17.01-, 16.13-6, and 16.12-9 don't have cross-site request forgery protections in the file release system. An attacker could use this vulnerability to trick victims into changing the commit rules or immutable tags of a SVN repo. Tuleap Community Edition 16.13.99.1762267347, Tuleap Enterprise Edition 17.0-1, Tuleap Enterprise Edition 16.13-6, and Tuleap Enterprise Edition 16.12-9 fix the issue.
📍 영향받는 시스템
Tuleap Community Edition < 16.13.99.1762267347, Enterprise Edition < 17.01-, 16.13-6, 16.12-9
⚔️ 공격 벡터
사용자를 속여 악성 요청이 포함된 링크를 클릭하게 만드는 CSRF 공격
🛡️ 대응 방법
Tuleap Community Edition 16.13.99.1762267347 또는 Enterprise Edition의 최신 수정 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 출력되면 안전한 상태입니다.
curl -s http://<tuleap-host>/version | grep -E '16.13.99.1762267347|17.0-1|16.13-6|16.12-9'