🇰🇷 한글 설명
Alosuite의 비밀번호 찾기 기능에서 요청 제한이 부족한 취약점입니다. '/Account/resetPwd' 엔드포인트가 단일 계정에 대해 전송되는 비밀번호 재설정 요청의 횟수나 빈도를 적절히 제한하지 않습니다. 이로 인해 원격 공격자가 해당 엔드포인트를 반복 호출하여 사용자에게 무제한의 비밀번호 재설정 이메일을 발송할 수 있습니다.
💡 쉬운 설명
누군가 특정 사용자의 비밀번호 재설정 메일을 끝없이 보낼 수 있습니다. 이로 인해 해당 사용자는 메일 폭탄을 받고 서버와 메일 시스템 자원이 낭비됩니다.
🇺🇸 원문 (English)
Vulnerability due to a lack of request limits in Alosuite’s password recovery functionality. The ‘/Account/resetPwd’ endpoint does not enforce adequate restrictions on the number or frequency of password reset requests sent for a single account. As a result, a remote attacker can repeatedly call the endpoint to generate an unlimited number of password reset emails addressed to a user, causing an email flood and enabling abuse of the password recovery mechanism. The absence of request limits or other controls against automation can harm legitimate users, consume application and email infrastructure resources, and facilitate automated attacks against the password recovery service.
📍 영향받는 시스템
Alosuite 웹 애플리케이션 (취약 버전 미확인, 제조사 공지 확인 필요)
⚔️ 공격 벡터
원격에서 /Account/resetPwd 엔드포인트에 자동화된 요청을 반복 전송하여 이메일 폭주 유발
🛡️ 대응 방법
계정별·IP별 비밀번호 재설정 요청 횟수 및 빈도 제한(rate limiting) 적용, CAPTCHA 등 자동화 방지 수단 도입, 벤더 패치 적용
🔧 검증 코드
테스트 계정 메일로 여러 차례 요청 후 일정 횟수 이후 429 또는 차단 응답이 나오면 제한이 적용된 것이며, 계속 200 응답이 나오면 취약한 상태입니다.
curl -s -o /dev/null -w '%{http_code}' -X POST https://TARGET/Account/resetPwd