🇰🇷 한글 설명
Cronmaster(cronjob 관리 UI)는 2.2.0 이전 버전에서 미들웨어의 인증 bypass 취약점이 존재합니다. 잘못된 세션 쿠키를 가진 비인증 요청이 세션 검증 fetch가 실패할 때 인증된 것으로 처리될 수 있습니다. 이로 인해 보호된 페이지에 무단 접근하고 권한이 필요한 Next.js Server Actions를 무단 실행할 수 있습니다. 이 문제는 2.2.0 버전에서 패치되었습니다.
💡 쉬운 설명
로그인하지 않은 사용자도 특정 조건에서 로그인된 사용자로 잘못 인식될 수 있습니다. 그 결과 관리자만 할 수 있는 작업(예약 작업 수정 등)을 몰래 수행할 수 있습니다.
🇺🇸 원문 (English)
Cr*nMaster (cronmaster) is a Cronjob management UI with human readable syntax, live logging and log history for cronjobs. Prior to version 2.2.0, an authentication bypass in middleware allows unauthenticated requests with an invalid session cookie to be treated as authenticated when the middleware’s session-validation fetch fails. This can result in unauthorized access to protected pages and unauthorized execution of privileged Next.js Server Actions. This issue has been patched in version 2.2.0.
📍 영향받는 시스템
Cronmaster (cronmaster) 2.2.0 미만 버전
⚔️ 공격 벡터
잘못된 세션 쿠키를 포함한 비인증 요청을 보내 세션 검증 실패를 유도하여 미들웨어 인증을 우회
🛡️ 대응 방법
cronmaster를 2.2.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 2.2.0 미만이면 취약하므로 업그레이드가 필요하며, 2.2.0 이상이면 패치된 상태입니다. 아무 결과도 없으면 해당 패키지가 설치되어 있지 않은 것입니다.
npm ls cronmaster 2>/dev/null | grep -i cronmaster || cat package.json 2>/dev/null | grep -i cronmaster