🇰🇷 한글 설명
Secret Server 온프레미스 12.3.1 미만 버전에서는 사용자가 인증 없이 임의의 계정에 대해 2단계 인증 PIN 코드를 생성할 수 있습니다. 공격자는 최초 로그인 단계를 우회하고 두 번째 인증 요소만으로 인증할 수 있습니다.
💡 쉬운 설명
Secret Server 서비스의 로그인 보호 장치에 큰 허점이 있어, 누구나 비밀번호 없이 다른 사람 계정의 인증 코드를 만들어낼 수 있습니다. 이 허점을 이용하면 로그인 절차의 첫 단계를 건너뛰고 인증 코드만으로 시스템에 들어갈 수 있습니다.
🇺🇸 원문 (English)
In Secret Server on-prem versions earlier than 12.3.1, a user could cause a two-factor pin code to be generated for any account without prior authentication, then bypass the initial login step and authenticate using the second factor alone.
📍 영향받는 시스템
Secret Server On-Premises 12.3.1 미만 버전
⚔️ 공격 벡터
인증 없이 대상 계정의 2FA PIN 코드를 생성시킨 뒤, 1차 로그인 단계를 우회하고 2FA 코드만으로 인증
🛡️ 대응 방법
Secret Server를 12.3.1 이상 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전 문자열이 12.3.1 미만이면 취약한 것으로 판단하고 즉시 업그레이드하며, 결과가 없으면 설치 경로를 직접 확인하거나 관리 콘솔에서 버전을 확인해야 합니다.
grep -ri 'secret server' /opt /var/www /usr/local 2>/dev/null | grep -iE 'version' | head -n 5