🇰🇷 한글 설명
Bitwarden Server v2026.4.0 이전 버전에는 권한 검증이 누락된 취약점이 존재합니다. provider 서비스 사용자는 POST /providers/{providerId}/clients/existing 엔드포인트를 통해 임의의 조직을 자신의 provider에 추가할 수 있으며, 이로 인해 대상 조직이 탈취될 수 있습니다. 자체 호스팅 설치 환경은 해당 엔드포인트가 Cloud 전용으로 제한되어 있어 영향을 받지 않습니다.
💡 쉬운 설명
Bitwarden 클라우드 서비스에서 권한이 있는 일부 사용자가 권한이 없는 다른 회사(조직)의 관리 권한을 가져갈 수 있는 문제입니다. 직접 서버를 운영하는 경우에는 이 문제가 적용되지 않습니다.
🇺🇸 원문 (English)
Bitwarden Server prior to v2026.4.0 contains a missing authorization vulnerability that allows a provider service user to add an arbitrary organization to their provider via `POST /providers/{providerId}/clients/existing`, resulting in takeover of the target organization; self-hosted installations are unaffected as this endpoint is restricted to Cloud via SelfHosted(NotSelfHostedOnly = true).
📍 영향받는 시스템
Bitwarden Server v2026.4.0 미만 (Bitwarden Cloud 환경, 자체 호스팅은 영향 없음)
⚔️ 공격 벡터
provider 서비스 사용자 권한을 가진 공격자가 POST /providers/{providerId}/clients/existing 요청으로 임의의 조직을 자신의 provider에 추가하여 조직 장악
🛡️ 대응 방법
Bitwarden Server를 v2026.4.0 이상으로 업그레이드하고, provider 서비스 사용자 권한과 조직 연결 내역을 점검
🔧 검증 코드
출력된 이미지 태그가 v2026.4.0 이상이면 패치 완료, 이전 버전이거나 컨테이너가 없으면 Cloud 사용 여부와 버전을 별도 확인 필요
docker inspect $(docker ps -q --filter ancestor=bitwarden/api) --format '{{.Config.Image}}' 2>/dev/null || echo 'bitwarden container not found'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Windows iSCSI Target Service