🇰🇷 한글 설명
Nginx UI 2.3.3 및 이전 버전에서 발생하는 IDOR(부적절한 직접 객체 참조) 취약점입니다. 인증된 사용자가 다른 사용자의 리소스에 접근, 수정 또는 삭제할 수 있으며, 이는 모델 구조에 사용자 ID 검증 로직이 누락되어 발생합니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 설정이나 데이터를 마음대로 보고 고칠 수 있는 보안 구멍이 발견되었습니다. 시스템이 '이 데이터가 누구 것인지' 확인하지 않기 때문에 발생하는 문제입니다.
🇺🇸 원문 (English)
Nginx UI is a web user interface for the Nginx web server. In versions 2.3.3 and prior, Nginx-UI contains an Insecure Direct Object Reference (IDOR) vulnerability that allows any authenticated user to access, modify, and delete resources belonging to other users. The application's base Model struct lacks a user_id field, and all resource endpoints perform queries by ID without verifying user ownership, enabling complete authorization bypass in multi-user environments. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
Nginx UI 2.3.3 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 리소스 ID를 직접 조작하여 타인의 데이터에 접근하는 방식
🛡️ 대응 방법
공식 패치가 출시될 때까지 접근 제어를 강화하거나, 사용자별 리소스 소유권 검증 로직을 수동으로 구현해야 함
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 시스템은 공격에 노출된 상태입니다.
curl -s http://<target_ip>/version | grep -E '2.3.3|2.3.2|2.3.1'