🇰🇷 한글 설명
Devolutions Server의 사용자 MFA 기능에서 민감 정보가 노출되는 취약점입니다. 사용자 관리 권한을 가진 인증된 사용자가 API 요청을 통해 다른 사용자의 OTP 키를 획득할 수 있습니다. 2026.1.6부터 2026.1.11 버전까지 영향을 받습니다.
💡 쉬운 설명
사용자 관리 권한을 가진 직원이 다른 사용자의 2단계 인증(OTP) 키를 몰래 알아낼 수 있는 문제입니다. 이렇게 되면 공격자가 그 사용자 계정으로 인증을 우회할 수 있습니다.
🇺🇸 원문 (English)
Exposure of sensitive information in the users MFA feature in Devolutions Server allows users with user management privileges to obtain other users OTP keys via an authenticated API request.
This issue affects Server: from 2026.1.6 through 2026.1.11.
📍 영향받는 시스템
Devolutions Server 2026.1.6 ~ 2026.1.11 버전
⚔️ 공격 벡터
사용자 관리 권한을 가진 인증된 사용자가 API 요청으로 다른 사용자의 OTP 키를 조회
🛡️ 대응 방법
Devolutions Server를 2026.1.11 초과 패치 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 정보가 2026.1.6 ~ 2026.1.11 범위에 해당하면 취약하며, 2026.1.11 초과 버전이면 패치가 적용된 것입니다. 결과가 없으면 설치 경로를 직접 확인해야 합니다.
grep -ri 'devolutions' /opt /usr/local 2>/dev/null | grep -iE 'version' | head -5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server