🇰🇷 한글 설명
Slack Morphism 라이브러리 1.0.0부터 2.27.0 버전에서 서명 검증 실패 시 올바른 HMAC 값을 오류 메시지에 노출하는 취약점이 발견되었습니다. 공격자가 로그를 읽을 수 있다면 이 값을 이용해 유효한 서명을 생성하는 오라클 공격을 수행할 수 있습니다. 이를 통해 공격자는 Slack의 비밀 키를 몰라도 조작된 요청을 서버에 전달할 수 있습니다.
💡 쉬운 설명
Slack 메시지가 진짜인지 확인하는 과정에서 실수로 정답(서명)을 로그에 남기는 보안 허점이 발견되었습니다. 해커가 이 로그를 훔쳐본다면 가짜 메시지를 진짜처럼 속여서 서버에 보낼 수 있습니다.
🇺🇸 원문 (English)
Slack Morphism is a client library for Slack Web/Events API/Socket Mode and Block Kit. Versions 1.0.0 through 2.27.0 expose the correct Slack request HMAC when signature verification fails. For an invalid request, `slack-morphism` computes the correct signature for the attacker-controlled timestamp and request body and stores it in `SlackEventWrongSignatureError.generated_hash`. The error's `Debug` and `Display` representations expose that value, and the default Axum listener error handler logs it at error level. An attacker who can both reach the application's Slack callback endpoint and read its application/service logs can therefore use the verifier as a chosen-message HMAC oracle. The attacker can send an arbitrary request with an invalid signature, recover the correct signature from the resulting log entry, and resend the same request within the five-minute freshness window. The second request passes Slack Morphism's signature verification and reaches the protected application callback without the attacker knowing the Slack signing secret. Version 2.28.0 patches the issue.
📍 영향받는 시스템
slack-morphism versions 1.0.0 through 2.27.0
⚔️ 공격 벡터
로그 접근 권한을 이용해 잘못된 서명 요청에 대한 올바른 HMAC 값을 탈취한 후 재전송하는 방식
🛡️ 대응 방법
slack-morphism 라이브러리를 2.28.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.28.0 미만(예: 2.27.0)이면 취약한 상태입니다.
cargo pkgid slack-morphism 2>/dev/null | grep -oE 'slack-morphism@([0-9]+\.[0-9]+\.[0-9]+)'