🇰🇷 한글 설명
Ekko Studio 0.7.36 이하 버전에서 권한 부여 미흡 취약점이 발견되었습니다. 인증된 일반 사용자가 /api/auth/locked-ips 경로를 통해 서버 전체의 로그인 차단 목록을 조회하거나 초기화할 수 있습니다. 공격자는 IP 매개변수 없이 DELETE 요청을 보내 로그인 속도 제한 기능을 무력화하고 관리자 계정을 대상으로 무차별 대입 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그인 시도를 많이 하면 계정을 보호하기 위해 접속을 차단하는 기능이 있는데, 일반 사용자가 이 차단 기능을 마음대로 끌 수 있는 문제입니다. 이를 통해 해커가 관리자 비밀번호를 알아낼 때까지 계속해서 로그인을 시도할 수 있게 됩니다.
🇺🇸 원문 (English)
Ekko Studio through 0.7.36 contains a missing authorization vulnerability that allows any authenticated non-super_admin user to list and clear server-wide login lockouts via /api/auth/locked-ips. Attackers can send DELETE requests without an ip parameter to invoke unlockAll(), disabling the login rate limiter during password guessing against super_admin accounts.
📍 영향받는 시스템
Ekko Studio 0.7.36 이하 버전
⚔️ 공격 벡터
인증된 일반 사용자가 특정 API 엔드포인트(/api/auth/locked-ips)에 IP 매개변수가 없는 DELETE 요청을 전송
🛡️ 대응 방법
Ekko Studio를 최신 보안 패치가 적용된 버전으로 업데이트하고, API 엔드포인트에 대한 권한 검증 로직을 강화하십시오.
🔧 검증 코드
출력된 버전 번호가 0.7.36 이하인지 확인하여 취약 여부를 판단합니다.
curl -s -X GET http://<target-ip>/api/version | grep -E '0\.[0-7]\.[0-9]{2}'