🇰🇷 한글 설명
Obot 0.25.0 미만 0.25.6 버전 및 0.26.0 미만 0.26.1 버전에서 인증 제공자 그룹 갱신 시 레이스 컨디션 취약점이 발견되었습니다. 갱신 프로세스가 순서대로 처리되지 않을 경우, 방금 취소된 그룹 멤버십이 다시 복구되어 약 10분 동안 권한이 유지될 수 있습니다.
💡 쉬운 설명
사용자의 권한을 삭제해도 시스템 내부의 처리 순서가 꼬이면서 삭제된 권한이 잠시 되살아나는 문제입니다. 이로 인해 권한이 없어야 할 사용자가 약 10분 동안 잘못된 접근 권한을 계속 가질 수 있습니다.
🇺🇸 원문 (English)
Obot 0.25.0 before 0.25.6 and 0.26.0 before 0.26.1 contains a race condition in auth provider group refreshes that can restore group memberships just revoked in the identity provider. When overlapping refreshes for the same user commit out of order, stale memberships are persisted and the user retains revoked group-based access for about ten minutes.
📍 영향받는 시스템
Obot 0.25.0 < 0.25.6, Obot 0.26.0 < 0.26.1
⚔️ 공격 벡터
인증 정보 갱신 시 발생하는 레이스 컨디션을 이용한 권한 유지
🛡️ 대응 방법
Obot 버전을 0.25.6 또는 0.26.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(0.25.0~0.25.5 또는 0.26.0)에 해당하는지 확인하십시오.
python3 -c 'import obot; print(obot.__version__)' 2>/dev/null || echo 'Obot not installed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access