🇰🇷 한글 설명
OpenCTI의 GraphQL API 내 FilterOperator 열거형에 포함된 스크립트 필터 연산자가 사용자 입력값을 검증 없이 Elasticsearch Painless 스크립트로 직접 전달하는 취약점입니다. KNOWLEDGE 권한을 가진 인증된 사용자가 악의적으로 복잡한 스크립트를 실행하여 클러스터 CPU 자원을 고갈시키고 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 시스템에 아주 복잡하고 무거운 계산 명령을 내려서 서버를 느려지게 하거나 멈추게 만들 수 있는 문제입니다. 이로 인해 다른 사용자들이 서비스를 정상적으로 이용하지 못할 수 있습니다.
🇺🇸 원문 (English)
OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 7.260401.0, the OpenCTI GraphQL API exposes a script filter operator in its FilterOperator enum that allows any authenticated user with the KNOWLEDGE capability to pass user-supplied Elasticsearch Painless script values directly into search queries without validation or sanitization, allowing computationally expensive scripts to consume cluster CPU resources and degrade or deny service for all users. This issue is fixed in version 7.260401.0.
📍 영향받는 시스템
OpenCTI 7.260401.0 미만 버전
⚔️ 공격 벡터
KNOWLEDGE 권한을 가진 인증된 사용자가 GraphQL API를 통해 검증되지 않은 Painless 스크립트 값을 전달
🛡️ 대응 방법
OpenCTI를 최신 보안 패치가 적용된 버전인 7.260401.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 7.260401.0보다 낮으면 취약한 상태이며, 해당 버전과 같거나 높으면 안전합니다.
opencti-cli --version 2>/dev/null || curl -s http://localhost:8080/version | grep -E '7.260401.0'