🇰🇷 한글 설명
EnergizeLab station-middleware(NestJS) Docker 이미지 1.6.5부터 1.8.2 버전에서 관리자 API에 대한 사용자 역할 검증이 누락되었습니다. 이로 인해 인증된 저권한 사용자가 AI 제공업체 키를 탈취하고 설정 및 오브젝트 스토어 콘텐츠를 변경할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 관리자 권한을 행사할 수 있는 보안 결함이 발견되었습니다. 일반 사용자가 시스템의 중요한 설정과 데이터를 마음대로 바꾸거나 중요한 비밀번호를 훔칠 수 있습니다.
🇺🇸 원문 (English)
EnergizeLab station-middleware (NestJS) Docker images 1.6.5 through 1.8.2 do not check user roles on administrative APIs. Any authenticated low-privilege user can retrieve AI provider keys and change configuration and object-store contents.
📍 영향받는 시스템
EnergizeLab station-middleware (NestJS) Docker images 1.6.5 ~ 1.8.2
⚔️ 공격 벡터
인증된 저권한 사용자가 권한 검증이 없는 관리자 API 엔드포인트에 직접 요청을 보내는 방식
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전의 Docker 이미지로 업데이트하십시오.
🔧 검증 코드
출력된 이미지 버전이 1.6.5에서 1.8.2 사이라면 취약한 상태입니다.
docker images | grep 'energizelab/station-middleware' | awk '{print $2}'