🇰🇷 한글 설명
Agnaistic agnai 1.0.555 이하 버전의 self-host.docker-compose.yml 파일에 관리자 비밀번호와 JWT 비밀키가 하드코딩되어 있습니다. 인증되지 않은 공격자가 관리자 권한으로 로그인하거나 직접 JWT를 생성하여 사용자 사칭, 비밀번호 재설정 및 서버 설정을 변경할 수 있습니다.
💡 쉬운 설명
프로그램 설정 파일에 관리자 비밀번호가 그대로 적혀 있어 누구나 관리자 권한을 얻을 수 있는 보안 결함입니다. 이를 통해 해커가 사용자 정보를 바꾸거나 서버 설정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Agnaistic agnai through 1.0.555 contains a hard-coded credentials vulnerability in self-host.docker-compose.yml, which sets a fixed admin password and public JWT secret. Unauthenticated attackers can log in as admin or sign their own JWT with admin: true to impersonate users, reset passwords, and change server configuration.
📍 영향받는 시스템
Agnaistic agnai 1.0.555 이하 버전 (self-host.docker-compose.yml 사용 시)
⚔️ 공격 벡터
하드코딩된 관리자 자격 증명 및 JWT 비밀키를 이용한 인증 우회 및 권한 상승
🛡️ 대응 방법
설정 파일 내 하드코딩된 비밀번호와 JWT 비밀키를 즉시 변경하고, 환경 변수를 통해 안전하게 관리하도록 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 고정된 비밀번호나 JWT 비밀키 값이 출력되면 취약한 상태입니다.
grep -E 'admin|JWT_SECRET' self-host.docker-compose.yml