🇰🇷 한글 설명
Loom for AWS 1.6.1 미만 버전에서 인증 의존성 결함으로 인해 중요한 기능에 대한 인증이 누락되었습니다. 이로 인해 ID 제공자가 구성되지 않은 환경에서 원격 공격자가 에이전트 제어 평면에 대한 슈퍼 관리자 권한을 획득할 수 있습니다. 공격자는 도구 서버 등록, 통합 자격 증명 읽기, 관리되는 에이전트 역할에 연결된 IAM 역할 정책 재작성 등의 행위를 수행할 수 있습니다.
💡 쉬운 설명
인증 절차가 빠져 있어 누구나 관리자 권한을 가질 수 있는 심각한 보안 구멍이 발견되었습니다. 해커가 시스템의 모든 권한을 탈취하여 중요한 정보를 훔치거나 설정을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
Missing authentication for critical function in the authentication dependency in Loom for AWS before 1.6.1 allowed remote actors to obtain super-admin authority over the agent control plane, including registering tool servers, reading stored integration credentials, and rewriting the IAM role policies attached to managed agent roles, via any request to the application API in a deployment where no identity provider is configured.
To remediate this issue, users should upgrade to version 1.6.1 or later.
📍 영향받는 시스템
Loom for AWS 1.6.1 미만 버전 (ID 제공자가 구성되지 않은 배포 환경)
⚔️ 공격 벡터
ID 제공자가 없는 환경에서 애플리케이션 API로의 임의 요청을 통한 원격 공격
🛡️ 대응 방법
Loom for AWS를 1.6.1 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 Version 값이 1.6.1 미만이면 취약한 상태이며, 1.6.1 이상이면 안전합니다.
pip show loom-for-aws 2>/dev/null | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server