🇰🇷 한글 설명
FOSSBilling 0.5.4 버전부터 0.8.0 미만 버전에서 API 역할 처리 과정의 인증 우회 취약점이 발견되었습니다. 공격자는 인증, 세션, CSRF 토큰 없이도 권한이 필요한 /api/system/* 엔드포인트에 접근하여 관리자 API 메서드를 호출할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 관리자 권한을 가진 것처럼 속여 시스템의 중요한 기능을 마음대로 조작할 수 있는 보안 구멍입니다. 이로 인해 시스템 설정이 변경되거나 관리자 권한이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
FOSSBilling is a free, open-source billing and client management system. Starting in version 0.5.4 and prior to version 0.8.0, an authorization bypass in the API role handling allows unauthenticated access to privileged `/api/system/*` endpoints. Because `system` resolves to the cron admin identity, attackers can invoke admin API methods without valid credentials, session, or CSRF token. Version 0.8.0 patches the issue. Some workarounds are available. Block external access to `/api/system/*` at reverse proxy/WAF, restrict API access by trusted source IPs only (`api.allowed_ips`), rotate all admin/client API tokens immediately, invalidate active sessions and reset high-privilege credentials, and/or review API request logs for suspicious `/api/system/` access and treat as potential incident.
📍 영향받는 시스템
FOSSBilling 0.5.4 ~ 0.7.x (0.8.0 미만 버전)
⚔️ 공격 벡터
인증 및 CSRF 토큰 없이 /api/system/* 경로로 직접 API 요청을 보내는 방식
🛡️ 대응 방법
FOSSBilling을 0.8.0 버전 이상으로 업데이트하고, 리버스 프록시에서 /api/system/* 경로의 외부 접근을 차단하십시오.
🔧 검증 코드
출력된 결과에 0.5.4에서 0.7.x 사이의 버전 번호가 포함되어 있다면 취약한 버전이 설치된 것입니다.
grep -r "version" /path/to/fossbilling/ | grep -E '0\.[5-7]\.'
💻 영향받는 소프트웨어
IBM Verify Identity Access