🇰🇷 한글 설명
Roxy-WI 8.2.6.4 이하 버전에서 설치 관련 엔드포인트에 대한 권한 검증 결함으로, 인증된 일반 사용자도 모든 서버의 구성 요소를 임의로 설치 및 재구성할 수 있습니다. 공격자는 Ansible 플레이북 실행을 통해 타 테넌트의 SSH 자격 증명을 악용하여 관리 권한을 탈취할 수 있습니다.
💡 쉬운 설명
이 결함은 로그인만 하면 관리자 권한 없이도 시스템 설정을 마음대로 바꿀 수 있는 심각한 보안 구멍입니다. 공격자가 이를 이용해 다른 사용자의 서버에 접근하거나 악성 구성을 적용할 수 있습니다.
🇺🇸 원문 (English)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. In versions 8.2.6.4 and prior, the install blueprint declares only bp.before_request → @jwt_required() (app/routes/install/routes.py:36-39). The individual endpoints install_exporter, install_waf, install_geoip, check_geoip, get_exporter_version, and get_task_status are not wrapped in page_for_admin and do not call roxywi_common.is_user_has_access_to_its_group(server_ip) or check_is_server_in_group(server_ip). Only the GET index page (install_monitoring) gates on roxywi_auth.page_for_admin(level=2). Because the missing decorators omit both role and group checks, any logged-in user — including the default guest role 4 — can install/reconfigure exporters, WAF, and GeoIP databases on every server in the Roxy-WI database, regardless of tenant ownership. The Ansible playbooks run with the per-server SSH credential stored in Roxy-WI, which the credentials' rightful owner (a different tenant) has provisioned with sudo rights for the management workflow. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
Roxy-WI version <= 8.2.6.4
⚔️ 공격 벡터
인증된 일반 사용자가 취약한 API 엔드포인트를 호출하여 타 테넌트 서버에 Ansible 플레이북 실행
🛡️ 대응 방법
벤더에서 제공하는 패치 적용 또는 관련 엔드포인트에 대한 관리자 권한 검증 로직 추가
🔧 검증 코드
install_exporter 등 특정 엔드포인트에 @jwt_required() 외의 접근 제어 데코레이터가 누락되어 있는지 확인
grep -r 'bp.before_request' /path/to/roxywi/app/routes/install/routes.py