🇰🇷 한글 설명
Capgo 서버 백엔드의 Supabase 함수에서 API 키 번들 승격 경로에 권한 부여 오류가 발견되었습니다. PUT /bundle 엔드포인트가 채널 ID를 누락한 채 권한을 확인하여, 특정 채널에 설정된 거부(deny) 규칙을 무시하고 번들을 승격할 수 있습니다. 이로 인해 권한이 없는 채널의 버전을 업데이트하는 보안 취약점이 발생합니다.
💡 쉬운 설명
특정 채널에 접근하지 못하도록 막아두었음에도 불구하고, 권한 확인 과정의 실수로 인해 금지된 채널에 파일을 강제로 업데이트할 수 있는 문제입니다. 공격자는 이를 통해 허가되지 않은 채널의 내용을 변경할 수 있습니다.
🇺🇸 원문 (English)
Capgo (Cap-go/capgo.app) server backend Supabase functions contain an incorrect authorization flaw in the API-key bundle promotion path. The PUT /bundle endpoint, available to "all" and "write" API keys, dispatches to setChannel, which authorizes with checkPermission(c, 'channel.promote_bundle', { appId: body.app_id }) and omits the request's channel_id. Because the omitted scope field is passed to rbac_check_permission_direct as SQL NULL, and channel-scope override evaluation is gated on p_channel_id IS NOT NULL, per-channel allow/deny overrides are never evaluated. A principal holding app-level channel.promote_bundle (granted by default to the app_developer and app_uploader roles) can therefore promote a bundle to a channel for which an explicit per-channel deny override exists, updating public.channels.version for the supplied channel_id; the target channel is only validated after authorization. The issue is confirmed on main at commit de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 and likely earlier versions; no patched version is known at the time of publication.
📍 영향받는 시스템
Capgo (cap-go/capgo.app) server backend (commit de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 및 이전 버전)
⚔️ 공격 벡터
API-key를 사용하여 PUT /bundle 요청을 보낼 때 channel_id를 포함하여 권한 검사를 우회하고 특정 채널의 버전을 업데이트함
🛡️ 대응 방법
checkPermission 함수 호출 시 요청된 channel_id를 포함하도록 수정하여 RBAC 채널 범위 오버라이드 검사가 정상적으로 수행되도록 패치해야 함
🔧 검증 코드
거부된 채널 ID를 포함한 요청이 성공(200 OK)하여 채널 버전이 변경된다면 취약점이 존재하는 것입니다.
curl -X PUT -H 'Authorization: Bearer <API_KEY>' -H 'Content-Type: application/json' -d '{"app_id": "<APP_ID>", "channel_id": "<DENIED_CHANNEL_ID>"}' https://<CAPGO_API_URL>/bundle