🇰🇷 한글 설명
Alosuite의 객체 식별자 처리 과정에서 인가 검사가 불충분하여 직접 객체 참조(IDOR) 취약점이 존재합니다. '/Companies/Edit/{id}' 엔드포인트의 식별자를 변조하면 인가되지 않은 다른 회사 또는 사용자의 정보에 접근할 수 있으며, 인증되지 않은 원격 공격자도 유효한 식별자를 열거하여 제한된 데이터를 조회할 수 있습니다.
💡 쉬운 설명
웹 주소의 번호를 바꾸는 것만으로 다른 회사나 사용자의 정보를 볼 수 있는 보안 결함입니다. 로그인하지 않은 외부인도 이 방식으로 민감한 데이터를 열람할 수 있습니다.
🇺🇸 원문 (English)
Direct Object Reference (IDOR) vulnerability in Alosuite due to insufficient authorization checks when processing object identifiers. By modifying the identifier provided to the ‘/Companies/Edit/{id}’ endpoint, an attacker can access information associated with other companies or users without the appropriate authorization. The vulnerability allows unauthenticated remote attackers to enumerate valid object identifiers and retrieve information that should be restricted to authorized users, resulting in the unauthorized disclosure of application data.
📍 영향받는 시스템
Alosuite (영향받는 정확한 버전 정보 미상, 벤더 공지 확인 필요)
⚔️ 공격 벡터
인증 없이 '/Companies/Edit/{id}' 엔드포인트의 id 값을 순차적으로 변경하며 다른 회사·사용자 정보를 열거 조회
🛡️ 대응 방법
벤더가 제공하는 최신 패치를 적용하고, 객체 접근 시 세션 사용자의 소유권 및 권한을 서버 측에서 검증하도록 수정
🔧 검증 코드
응답 코드가 200이면 인증 없이 객체에 접근 가능하므로 취약할 가능성이 높고, 302나 401·403이면 접근이 차단된 것으로 판단할 수 있습니다.
curl -s -o /dev/null -w '%{http_code}' http://localhost/Companies/Edit/1