🇰🇷 한글 설명
Malcolm 내 Arkime 라이브 캡처 서비스가 호스트 네트워크 모드로 실행되어 8005번 포트가 모든 인터페이스에 노출됩니다. 해당 서비스는 모든 IP로부터 오는 X-Forwarded-User 헤더를 신뢰하며 사용자를 자동 생성하고, 비밀번호가 'Malcolm'으로 하드코딩되어 있습니다. 네트워크 인접 공격자가 위조된 헤더를 사용하여 nginx를 우회하고 관리자 권한을 탈취할 수 있습니다.
💡 쉬운 설명
보안 설정이 허술한 서비스가 외부로 노출되어 있어, 공격자가 가짜 신분증(헤더)을 내밀면 시스템이 이를 그대로 믿고 관리자 권한을 넘겨주는 문제입니다. 또한 비밀번호가 너무 쉬운 기본값으로 설정되어 있어 누구나 쉽게 침입할 수 있습니다.
🇺🇸 원문 (English)
The Arkime live capture service (arkime-live) in Malcolm runs with network_mode: host, exposing port 8005 on all network interfaces (viewHost=0.0.0.0). Arkime trusts the X-Forwarded-User header from any IP address (userAuthIps=::,0.0.0.0/0) and auto-creates users with full access. The passwordSecret is hardcoded to the public value "Malcolm". A network-adjacent attacker bypasses nginx entirely by connecting directly to port 8005 with a forged identity header.
📍 영향받는 시스템
Malcolm 환경에서 실행되는 Arkime live capture service (arkime-live)
⚔️ 공격 벡터
네트워크 인접 공격자가 8005번 포트로 직접 접속하여 위조된 X-Forwarded-User 헤더를 전송
🛡️ 대응 방법
viewHost를 127.0.0.1로 제한하고, userAuthIps를 신뢰할 수 있는 IP로 설정하며, 하드코딩된 비밀번호를 변경하십시오.
🔧 검증 코드
8005번 포트가 0.0.0.0 또는 :::로 모든 인터페이스에서 리스닝 중인지 확인합니다.
netstat -tuln | grep :8005
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access