🇰🇷 한글 설명
Zammad 7.0.1 미만 버전의 REST 엔드포인트에서 권한 검증 미흡으로 인한 취약점이 발견되었습니다. AI 프롬프트에 사용되는 컨텍스트 데이터(그룹 또는 조직 정보 등)가 현재 사용자의 접근 권한을 확인하지 않고 포함될 수 있습니다. 이로 인해 권한이 없는 데이터가 AI 프롬프트에 노출될 위험이 있습니다.
💡 쉬운 설명
도움말 시스템의 AI 기능을 사용할 때, 사용자가 볼 권한이 없는 정보가 AI에게 몰래 전달될 수 있는 문제입니다. 이를 통해 원래는 볼 수 없어야 할 조직이나 그룹 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.0.1, he REST endpoint POST /api/v1/ai_assistance/text_tools/:id contains an authorization failure. Context data (e.g., a group or organization) supplied to be used in the AI prompt were not checked if they are accessible for the current user. This leads to having data present in the AI prompt that were not authorized before being used. A user needs to have ticket.agent permission to be able to use the provided context data. This vulnerability is fixed in 7.0.1.
📍 영향받는 시스템
Zammad 7.0.1 미만 모든 버전
⚔️ 공격 벡터
ticket.agent 권한을 가진 사용자가 권한이 없는 컨텍스트 데이터를 포함하여 AI 엔드포인트에 POST 요청을 전송
🛡️ 대응 방법
Zammad를 최신 보안 패치가 적용된 7.0.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에서 버전 번호가 7.0.1 이상인지 확인하여 취약점 여부를 판단합니다.
curl -s http://<zammad-host>/api/v1/version | grep -E '7.0.1'