🇰🇷 한글 설명
OpenCTI는 사이버 위협 인텔리전스 지식과 관측값을 관리하는 오픈소스 플랫폼입니다. 7.260326.0 이전 버전에서는 KNOWLEDGE_KNUPDATE 권한을 가진 인증된 사용자가 synchronized-upsert: true HTTP 헤더를 삽입하여 신뢰도(Confidence Level) 검증과 객체 마킹(Object Marking) 제한을 우회할 수 있습니다. 이로 인해 TLP:RED 같은 보안 마킹 제거, 신뢰도 하향 조정, 관계 조작이 가능합니다.
💡 쉬운 설명
권한이 있는 일반 사용자가 특수한 HTTP 헤더를 추가하면 데이터의 보안 등급 표시와 신뢰도 기준을 우회할 수 있습니다. 그 결과 중요한 위협 정보가 낮은 보안 등급으로 노출될 수 있습니다.
🇺🇸 원문 (English)
OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 7.260326.0, an authorization bypass vulnerability in OpenCTI allows any authenticated user with KNOWLEDGE_KNUPDATE permission to bypass Confidence Level validation and Object Marking restrictions by injecting the synchronized-upsert: true HTTP header, enabling attackers to downgrade confidence levels, remove security markings such as TLP:RED, manipulate relationships, and affect STIX object types including Indicators, ThreatActors, Malware, and Reports. This issue is fixed in version 7.260326.0.
📍 영향받는 시스템
OpenCTI 7.260326.0 이전 버전
⚔️ 공격 벡터
KNOWLEDGE_KNUPDATE 권한을 가진 인증 사용자가 synchronized-upsert: true 헤더를 포함한 HTTP 요청으로 검증 로직을 우회
🛡️ 대응 방법
OpenCTI를 7.260326.0 이상 버전으로 업그레이드하고, 불필요한 KNOWLEDGE_KNUPDATE 권한을 회수
🔧 검증 코드
출력된 이미지 태그의 버전이 7.260326.0 미만이면 취약하며, 그 이상이면 패치된 버전입니다. 결과가 없으면 Docker 환경이 아니므로 설치 경로에서 버전을 직접 확인하세요.
docker ps --format '{{.Image}}' | grep -i opencti