🇰🇷 한글 설명
OneUptime 10.0.42 이전 버전의 일부 알림 API 엔드포인트에서 인증 미들웨어가 누락된 취약점이 발견되었습니다. 공격자는 공개 상태 페이지 API를 통해 유출된 projectId를 이용하여 인증 없이 해당 엔드포인트에 접근함으로써, 피해자의 Twilio 계정으로 전화번호를 구매하거나 기존 알림 번호를 삭제할 수 있습니다.
💡 쉬운 설명
로그인 없이도 접근 가능한 보안 구멍이 발견되어 해커가 회사의 문자 발송 계정을 마음대로 조작할 수 있는 문제입니다. 이를 통해 무단으로 유료 번호를 구매하게 하여 비용을 발생시키거나 중요한 알림 설정을 삭제할 수 있습니다.
🇺🇸 원문 (English)
OneUptime is an open-source monitoring and observability platform. Prior to version 10.0.42, multiple notification API endpoints are registered without authentication middleware, while sibling endpoints in the same codebase correctly use ClusterKeyAuthorization.isAuthorizedServiceMiddleware. These endpoints are externally reachable via the Nginx proxy at /notification/. Combined with a projectId leak from the public Status Page API, an unauthenticated attacker can purchase phone numbers on the victim's Twilio account and delete all existing alerting numbers. This issue has been patched in version 10.0.42.
📍 영향받는 시스템
OneUptime version < 10.0.42
⚔️ 공격 벡터
공개 API에서 projectId를 획득한 후 인증이 누락된 /notification/ API 엔드포인트에 직접 요청 전송
🛡️ 대응 방법
OneUptime을 최신 버전인 10.0.42 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 숫자가 10.0.42보다 낮으면 취약한 상태입니다.
grep '"version":' package.json | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'