🇰🇷 한글 설명
Microsoft Azure API Management에서 셀프 서비스 가입 기능이 활성화된 경우, 호스트 이름이나 테넌트 식별자를 변경하여 가입이 비활성화된 다른 테넌트에도 등록 프로세스를 재사용할 수 있는 취약점입니다. 다만, 공급업체는 이 현상이 보안 경계를 넘지 않는 구성 및 상태 문제로 판단하여 제품 취약점으로 분류하지 않았습니다.
💡 쉬운 설명
관리자가 웹사이트에서 회원가입을 막아두었더라도, 특수한 주소 조작을 통해 가입 페이지에 접근할 수 있는 문제입니다. 하지만 실제 데이터 유출이나 보안 침해로 이어지지는 않는 설정상의 허점으로 확인되었습니다.
🇺🇸 원문 (English)
In Microsoft Azure API Management through 2025-10-17, when self-service signup (username/password Basic Authentication) is enabled in Tenant A, an attacker can reuse the registration flow by changing the hostname or tenant identifier to Tenant B, even when Tenant B has signup disabled at the UI level. In other words, disabling signup in the UI does not disable the underlying API endpoint (which still accepts cross-tenant requests based on the Host header). NOTE: The supplier states that they evaluated the report and determined it did not cross a security boundary (i.e., the observed behavior was a configuration/state issue rather than an exploitable product vulnerability affecting tenant isolation). NOTE: The supplier evaluated this report and determined that it did not cross a security boundary (i.e., the observed behavior was a configuration/state issue rather than an exploitable product vulnerability affecting tenant isolation).
📍 영향받는 시스템
Microsoft Azure API Management (2025-10-17 이전 버전)
⚔️ 공격 벡터
Host 헤더 또는 테넌트 식별자 조작을 통한 API 엔드포인트 우회 호출
🛡️ 대응 방법
공급업체의 판단에 따라 별도의 패치는 필요하지 않으나, 테넌트별 가입 정책을 재검토하십시오.
🔧 검증 코드
가입이 비활성화된 테넌트의 엔드포인트가 200 OK 응답을 반환하는지 확인하여 설정 상태를 점검합니다.
curl -I -H 'Host: [Target-Tenant-ID].azure-api.net' https://[Target-Hostname]/signup-endpoint