🇰🇷 한글 설명
오픈소스 작업 관리 플랫폼인 Vikunja의 0.18.0 버전부터 2.2.1 미만 버전에서 발생하는 취약점입니다. 사용자 계정이 비활성화되거나 잠겨도 API 토큰, CalDAV 기본 인증, OpenID Connect를 통한 인증 경로에서는 상태 확인을 수행하지 않아 접근이 가능합니다.
💡 쉬운 설명
계정이 정지된 사용자라도 특정 로그인 방식(API, 캘린더 동기화 등)을 이용하면 여전히 시스템에 접속하여 데이터를 볼 수 있는 문제입니다. 보안을 위해 정지된 계정은 모든 경로에서 차단되어야 합니다.
🇺🇸 원문 (English)
Vikunja is an open-source self-hosted task management platform. Starting in version 0.18.0 and prior to version 2.2.1, when a user account is disabled or locked, the status check is only enforced on the local login and JWT token refresh paths. Three other authentication paths — API tokens, CalDAV basic auth, and OpenID Connect — do not verify user status, allowing disabled or locked users to continue accessing the API and syncing data. Version 2.2.1 patches the issue.
📍 영향받는 시스템
Vikunja 0.18.0 ~ 2.2.0 버전
⚔️ 공격 벡터
비활성화된 계정의 API 토큰 또는 CalDAV 인증 정보를 이용한 API 접근 및 데이터 동기화
🛡️ 대응 방법
Vikunja를 최신 보안 패치가 적용된 2.2.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.2.1 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target-ip>/api/v1/version | grep -E '"version": "(0\.[0-9]+|1\.[0-9]+|2\.[0-1]\.[0-9]+)"'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access