🇰🇷 한글 설명
Pterodactyl 게임 서버 관리 패널 1.11.11 이하 버전에서 TOTP(일회용 비밀번호)가 유효 시간 내에 여러 번 사용될 수 있는 취약점이 발견되었습니다. 2FA가 활성화된 상태에서 토큰이 사용된 것으로 충분히 표시되지 않아, 공격자가 토큰을 가로챌 경우 유효 시간 내에 계정에 접근할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 일회용 보안 번호가 한 번 쓰고 사라져야 하는데, 정해진 시간 동안은 여러 번 쓸 수 있는 문제입니다. 누군가 내 보안 번호를 훔쳐본다면, 그 번호가 만료되기 전에 몰래 내 계정에 접속할 수 있습니다.
🇺🇸 원문 (English)
Pterodactyl is a free, open-source game server management panel. Versions 1.11.11 and below allow TOTP to be used multiple times during its validity window. Users with 2FA enabled are prompted to enter a token during sign-in, and afterward it is not sufficiently marked as used in the system. This allows an attacker who intercepts that token to use it in addition to a known username/password during the 60-second token validity window. The attacker must have intercepted a valid 2FA token (for example, during a screen share). This issue is fixed in version 1.12.0.
📍 영향받는 시스템
Pterodactyl version 1.11.11 and below
⚔️ 공격 벡터
화면 공유 등을 통해 탈취한 유효한 2FA 토큰을 사용하여 사용자 계정으로 로그인 시도
🛡️ 대응 방법
Pterodactyl을 버전 1.12.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.12.0 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<your-pterodactyl-panel-url>/api/system | grep -E 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server