🇰🇷 한글 설명
New API는 대규모 언어 모델(LLM) 게이트웨이 및 AI 자산 관리 시스템입니다. 0.12.0-alpha.1 이전 버전에서는 이메일 및 WeChat 계정 바인딩 엔드포인트(GET /api/oauth/email/bind, GET /api/oauth/wechat/bind)가 상태를 변경하는 작업에 GET 요청을 사용하여, 교차 사이트 탐색 시 세션 쿠키가 전송되는 환경에서 공격자가 로그인한 사용자의 브라우저를 통해 공격자가 통제하는 이메일 주소나 OAuth 신원을 바인딩하도록 만들 수 있습니다. 이 문제는 0.12.0-alpha.1 버전에서 수정되었습니다.
💡 쉬운 설명
사용자가 로그인된 상태에서 악성 링크를 클릭하면 계정에 공격자의 이메일이나 소셜 계정이 몰래 연결될 수 있습니다. 이로 인해 공격자가 계정을 장악할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 0.12.0-alpha.1, the email and WeChat account binding endpoints GET /api/oauth/email/bind and GET /api/oauth/wechat/bind used GET requests for state-changing account operations, allowing an attacker to trigger a logged-in user's browser to bind an attacker-controlled email address or OAuth identity in deployments where session cookies could be sent on cross-site navigations. This issue is fixed in version 0.12.0-alpha.1.
📍 영향받는 시스템
New API 0.12.0-alpha.1 미만 버전
⚔️ 공격 벡터
로그인된 사용자를 공격자가 만든 링크로 유도하여 GET 요청으로 계정 바인딩을 강제 실행 (CSRF 유형)
🛡️ 대응 방법
New API를 0.12.0-alpha.1 이상으로 업그레이드하고, 계정 바인딩 엔드포인트에 대해 SameSite 쿠키 설정 및 상태 변경 요청의 POST 전환 여부를 확인
🔧 검증 코드
출력된 버전이 0.12.0-alpha.1 미만이면 취약하며, 이상이면 패치가 적용된 것입니다 (포트와 엔드포인트는 환경에 맞게 수정 필요)
curl -s http://localhost:3000/api/status | grep -oE '"version":"[^"]*"'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
Cisco AsyncOS Software for Cisco Secure Email Gateway