🇰🇷 한글 설명
People 애플리케이션에서 메일 도메인의 Administrator 권한을 가진 사용자가 특수 제작된 초대 요청을 통해 기존 사용자(도메인 접근 권한 없음 포함)를 Owner 역할로 무단 승격시킬 수 있는 권한 상승 취약점입니다. 단일 인증 HTTP 요청으로 공격 가능하며, 대상 사용자의 수락 없이 즉시 도메인 소유권이 부여됩니다. 버전 1.25.0에서 패치되었습니다.
💡 쉬운 설명
메일 관리자가 특수한 요청을 보내서 다른 사람을 도메인 주인(Owner)으로 바로 만들 수 있는 문제입니다. 상대방의 동의나 확인 없이 권한이 즉시 변경됩니다.
🇺🇸 원문 (English)
People is an application to handle users and teams, and distribute permissions across La Suite. Prior to version 1.25.0, a user holding the Administrator role on a mail domain could send a crafted invitation request to promote any existing user (including users with no current domain access) to the Owner role. The exploit requires a single authenticated HTTP request and grants full domain ownership immediately, without any acceptance step from the target. This issue has been patched in version 1.25.0.
📍 영향받는 시스템
People 애플리케이션 1.25.0 미만 버전 (La Suite의 사용자 및 팀 권한 관리 애플리케이션)
⚔️ 공격 벡터
메일 도메인 Administrator가 인증된 초대 요청을 조작하여 기존 사용자의 역할을 Owner로 승격
🛡️ 대응 방법
People 애플리케이션을 버전 1.25.0 이상으로 업그레이드
🔧 검증 코드
Version이 1.25.0 이상이면 패치됨. 1.25.0 미만이거나 출력이 없으면 업그레이드 필요
pip show people 2>/dev/null | grep Version