🇰🇷 한글 설명
Devolutions Server 2026.2.5의 소셜 로그인 연결 엔드포인트에서 접근 제어가 부적절하게 구현되어 있습니다. 이로 인해 인증된 볼트 구성원이 악의적으로 조작된 API 요청을 통해 자신에게 권한이 없는 소셜 로그인 항목의 메타데이터를 열거할 수 있습니다.
💡 쉬운 설명
로그인된 사용자가 원래 볼 권한이 없는 소셜 로그인 연결 정보의 목록을 특정 요청으로 확인할 수 있는 취약점입니다. 비밀번호 자체가 노출되지는 않지만 어떤 계정들이 연결되어 있는지 정보가 새어 나갈 수 있습니다.
🇺🇸 원문 (English)
Improper access control in the social login connection endpoint in
Devolutions Server 2026.2.5 allows an authenticated vault member to
enumerate social login entry metadata to which they are not authorized
via a crafted API request.
📍 영향받는 시스템
Devolutions Server 2026.2.5
⚔️ 공격 벡터
인증된 볼트 구성원이 조작된 API 요청으로 소셜 로그인 항목 메타데이터를 열거
🛡️ 대응 방법
Devolutions Server를 취약점이 수정된 최신 버전으로 업데이트
🔧 검증 코드
설치된 Devolutions Server 버전 정보를 확인하여 2026.2.5 이하인지 비교하고, 해당 버전이면 취약한 것이므로 최신 패치 버전으로 업데이트가 필요합니다.
curl -s -o /dev/null -w '%{http_code}' http://localhost/api/version 2>/dev/null && grep -ri 'devolutions' /opt /var/www 2>/dev/null | grep -i 'version' | head -5