🇰🇷 한글 설명
Kiteworks Email Protection Gateway의 대용량 파일 교환 기능에서 권한 확인 절차에 결함이 발견되었습니다. 인증된 사용자가 자신이 참여하지 않은 패키지의 제목, 본문 및 첨부 파일을 읽을 수 있는 취약점입니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 이메일 파일이나 메시지 내용을 몰래 훔쳐볼 수 있는 보안 허점이 있습니다. 이로 인해 중요한 문서나 개인 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
An authorization check in the large file exchange feature of Kiteworks Email Protection Gateway did not correctly establish that the requesting user was a party to the package being requested. An authenticated user of that optional feature could read the subject, message body, and attachments of packages they neither sent nor received.
📍 영향받는 시스템
Kiteworks Email Protection Gateway (대용량 파일 교환 기능 사용 시)
⚔️ 공격 벡터
인증된 사용자가 권한 확인 미흡을 악용하여 타인의 패키지 ID로 직접 접근
🛡️ 대응 방법
Kiteworks 보안 패치 적용 및 권한 검증 로직 업데이트
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 최신 패치 버전인지 제조사 보안 권고문을 통해 확인하십시오.
curl -s https://<target-gateway>/version | grep -i 'Kiteworks'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
Cisco AsyncOS Software for Cisco Secure Email Gateway