🇰🇷 한글 설명
dotnet eShop .NET 8의 Ordering API 구성 요소 내 GetOrderAsync 함수에서 보안 결함이 발견되었습니다. OrderNumber 인자를 조작할 경우 리소스 식별자에 대한 부적절한 제어가 발생할 수 있으며, 이는 원격 공격을 통해 수행될 수 있습니다.
💡 쉬운 설명
주문 번호를 임의로 조작하여 다른 사람의 주문 정보에 접근할 수 있는 보안 취약점입니다. 해커가 원격에서 이 번호를 바꿔가며 시스템의 데이터를 잘못된 방식으로 제어할 위험이 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in dotnet eShop .NET 8. The impacted element is the function GetOrderAsync of the file src/Ordering.API/Apis/OrdersApi.cs of the component Ordering API. Performing a manipulation of the argument OrderNumber results in improper control of resource identifiers. The attack is possible to be carried out remotely. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
dotnet eShop .NET 8 (Ordering API 구성 요소)
⚔️ 공격 벡터
원격에서 OrderNumber 인자 값을 조작하여 리소스 식별자 제어권을 획득하는 방식
🛡️ 대응 방법
해당 API의 OrderNumber 입력값 검증 로직을 강화하고, 권한 확인 절차를 추가하여 업데이트해야 합니다.
🔧 검증 코드
해당 파일 내에 취약한 함수인 GetOrderAsync가 존재하는지 확인하여 영향 여부를 판단합니다.
grep -r "GetOrderAsync" src/Ordering.API/Apis/OrdersApi.cs