🇰🇷 한글 설명
이 취약점은 Comment API에서 요청한 사용자가 관련 객체에 접근 권한이 있는지 검증하지 않는 IDOR 문제입니다. 공격자는 임의의 객체 GUID를 사용하여 모든 비즈니스 유닛의 프로세스에 있는 댓글을 읽고 쓸 수 있습니다.
💡 쉬운 설명
시스템이 사용자의 권한을 제대로 확인하지 않아, 다른 사람의 데이터에 무단으로 접근할 수 있는 문제입니다. 인증된 사용자라면 누구나 다른 사람의 댓글을 자유롭게 수정하거나 생성할 수 있습니다.
🇺🇸 원문 (English)
The Comment API (GET /api/Comment and POST /api/Comment) in the affected application fails to perform authorization checks to verify that the requesting user has access to the object identified by the relatedObjectId. This Insecure Direct Object Reference (IDOR) vulnerability allows any authenticated user to read and write comments on any process across all business units by supplying an arbitrary object GUID.
📍 영향받는 시스템
Comment API를 사용하는 모든 버전의 애플리케이션
⚔️ 공격 벡터
인증된 사용자가 임의의 relatedObjectId를 포함하여 GET/POST 요청을 API에 전송
🛡️ 대응 방법
API 엔드포인트에서 요청된 객체에 대한 사용자의 권한을 반드시 검증하는 로직을 구현해야 합니다.
🔧 검증 코드
응답에 타인의 댓글 데이터가 반환되면 취약점이 존재하는 것입니다.
curl -s -H 'Authorization: Bearer <TOKEN>' 'https://<DOMAIN>/api/Comment?relatedObjectId=<ARBITRARY_GUID>'
💻 영향받는 소프트웨어
IBM Security Verify Access