🇰🇷 한글 설명
AiSOC 9.0.0 미만 12.0.0 버전에서 AISOC_DEV_MODE가 활성화되고 AISOC_ACTIONS_SERVICE_TOKEN이 비어 있는 기본 Docker Compose 배포 환경의 경우, response-action API 엔드포인트에 대한 인증이 강제되지 않습니다. 인증되지 않은 공격자가 통합 목록을 조회하거나 임의의 주체를 대신하여 작업을 제출 및 승인하고, 벤더 자격 증명을 사용하여 격리 조치를 실행할 수 있습니다.
💡 쉬운 설명
보안 설정이 잘못된 상태에서 시스템의 관리 권한이 잠겨 있지 않아 누구나 명령을 내릴 수 있는 상태입니다. 공격자가 허락 없이 보안 시스템을 조작하거나 중요한 차단 조치를 마음대로 실행할 수 있습니다.
🇺🇸 원문 (English)
AiSOC versions 9.0.0 before 12.0.0 fail to enforce authentication on the response-action API endpoints when AISOC_DEV_MODE is enabled and AISOC_ACTIONS_SERVICE_TOKEN is empty in the default Docker Compose deployment. Unauthenticated attackers can list response-action integrations, submit and approve actions on behalf of arbitrary principals, and dispatch containment actions using vendor credentials.
📍 영향받는 시스템
AiSOC versions 9.0.0 before 12.0.0 (Default Docker Compose deployment)
⚔️ 공격 벡터
인증이 누락된 API 엔드포인트를 통한 원격 비인증 공격
🛡️ 대응 방법
AiSOC를 12.0.0 이상 버전으로 업데이트하거나, AISOC_DEV_MODE를 비활성화하고 AISOC_ACTIONS_SERVICE_TOKEN을 설정하십시오.
🔧 검증 코드
결과에서 AISOC_DEV_MODE가 true이고 AISOC_ACTIONS_SERVICE_TOKEN이 비어 있다면 취약한 상태입니다.
docker inspect aisoc_container_name | grep -E 'AISOC_DEV_MODE|AISOC_ACTIONS_SERVICE_TOKEN'