🇰🇷 한글 설명
Coder 2.0.0 미만 2.34.8 버전에서 rbac 정책의 acl_allow 규칙에 권한 부여 오류가 발견되었습니다. 조직에서 제거된 인증된 사용자가 API를 통해 이전에 권한을 가졌던 템플릿이나 워크스페이스와 같은 조직 범위의 리소스에 계속 접근할 수 있는 취약점입니다.
💡 쉬운 설명
조직에서 퇴사하거나 멤버가 삭제되어도, 이전에 허용된 권한이 자동으로 삭제되지 않아 시스템에 계속 접속할 수 있는 문제입니다. 즉, 권한이 없는 사람이 예전 권한을 이용해 회사 내부 자료를 계속 볼 수 있습니다.
🇺🇸 원문 (English)
Coder from 2.0.0 before 2.34.8 contains an incorrect authorization vulnerability in the acl_allow rule of coderd/rbac/policy.rego, which does not verify organization membership for per-user ACL entries, and organization member removal does not scrub those entries. Authenticated users removed from an organization can keep accessing previously granted org-scoped resources such as templates and workspaces via the API.
📍 영향받는 시스템
Coder version 2.0.0 to 2.34.7
⚔️ 공격 벡터
조직에서 제거된 사용자가 API를 호출하여 기존에 권한을 가졌던 리소스에 접근
🛡️ 대응 방법
Coder를 2.34.8 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.34.8 미만인 경우 해당 취약점에 노출된 상태입니다.
coder --version | grep -E '2\[\.(0|[1-9][0-9]|2[0-3]\.[0-9]|3[0-4]\.[0-9])\.'