🇰🇷 한글 설명
Roxy-WI의 agent_action 엔드포인트는 인증된 사용자라도 역할(Role)이나 그룹 소유권 검증 없이 시스템 에이전트 제어 명령을 실행할 수 있는 권한 위배 취약점이 있습니다. 이로 인해 게스트 권한을 가진 공격자도 대상 서버의 루트 권한으로 에이전트 서비스를 시작, 중지 또는 재시작할 수 있습니다.
💡 쉬운 설명
이 결함은 로그인만 하면 누구나 권한 없이 다른 서버의 관리 프로그램을 마음대로 조작할 수 있게 만듭니다. 공격자는 관리자 권한을 탈취하지 않고도 대상 서버의 에이전트 서비스를 강제로 재시작하거나 중지시킬 수 있습니다.
🇺🇸 원문 (English)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. In versions 8.2.6.4 and prior, agent_action (app/routes/smon/agent_routes.py:166-179) has decorators @bp.post('/agent/action/<action>') and @jwt_required() only — no role check, no group ownership check on the server_ip form field. Any authenticated user, including role 4 (guest), can start, stop, or restart the roxy-wi-smon-agent systemd unit on any server they can name. Roxy-WI executes the systemd action over its own SSH credentials (passwordless sudo), so the action runs as root on the target. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
Roxy-WI version 8.2.6.4 and prior
⚔️ 공격 벡터
인증된 일반 사용자(게스트 포함)가 대상 서버 IP를 지정하여 에이전트 제어 API를 호출
🛡️ 대응 방법
엔드포인트에 역할(Role) 및 그룹 소유권 검증 로직을 추가하거나, 즉시 사용할 수 있는 패치가 출시될 때까지 접근을 제한하십시오.
🔧 검증 코드
해당 경로에서 agent_routes.py 파일이 발견되고 버전 정보가 8.2.6.4 이하로 확인되면 취약한 버전임을 의미합니다.
grep -r 'agent_routes.py' /opt/roxy-wi/ 2>/dev/null | grep -E '8\.2\.6\.4|agent_action'