🇰🇷 한글 설명
FOSSBilling 0.7.2 및 이전 버전의 Servicecustom Client API에서 인증된 클라이언트가 본인의 소유가 아닌 주문 ID를 통해 타인의 주문 정보를 조회할 수 있는 IDOR 취약점이 발견되었습니다. 공격자는 순차적인 주문 ID를 추측하여 다른 클라이언트의 개인정보(이름, 이메일, 전화번호, 주소 등) 및 서비스 설정 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 숫자 번호만 바꿔 입력하면 다른 사람의 주문 내역과 개인정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 주문 번호를 하나씩 늘려가며 입력하는 방식으로 타인의 정보를 쉽게 알아낼 수 있습니다.
🇺🇸 원문 (English)
FOSSBilling is a free, open-source billing and client management system. In versions 0.7.2 and prior, the Servicecustom Client API's __call method accepts an order_id parameter and fetches the associated order without verifying the authenticated client owns it, potentially exposing cross-client data through IDOR. An authenticated client can access any other client's custom service by guessing sequential order IDs. This can lead to a confidentiality breach — attackers can read client PII (name, email, phone, address, company details, VAT number) and service configuration data belonging to other clients. This issue has been fixed in version 0.8.0.
📍 영향받는 시스템
FOSSBilling 0.7.2 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 API의 order_id 파라미터에 타인의 주문 ID를 입력하여 접근하는 IDOR 공격
🛡️ 대응 방법
FOSSBilling을 취약점이 해결된 0.8.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 FOSSBilling의 버전이 0.7.2 이하인지 확인하여 취약 여부를 판단합니다.
grep -r "FOSSBilling" /path/to/installation/ | grep -E 'version|0\.[0-7]\.[0-2]'
💻 영향받는 소프트웨어
IBM Security Verify Access