🇰🇷 한글 설명
NL Portal 백엔드 라이브러리의 GraphQL 리졸버에서 사용자별 권한 검증이 누락되어 발생한 취약점입니다. 인증된 사용자가 다른 사용자의 문서 내용, 결정 사항, 감사 추적 및 첨부 파일을 무단으로 열람할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 개인 문서나 중요한 결정 사항을 몰래 훔쳐볼 수 있는 보안 결함입니다. 시스템이 '이 사람이 이 문서를 볼 권한이 있는지'를 제대로 확인하지 않아서 발생합니다.
🇺🇸 원문 (English)
NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. The `nl.nl-portal:documenten-api` package through version 3.0.0 and the `nl.nl-portal:besluiten` package from version 1.5.0 through 3.0.0 lack per-user authorization in GraphQL resolvers, allowing an authenticated user to access other users’ document contents, decisions, audit trails, and decision attachments. Version 3.0.1 contains a patch. As a workaround, block the affected document-content and decision-related GraphQL operations at the API gateway or block their GraphQL types entirely.
📍 영향받는 시스템
nl.nl-portal:documenten-api (<= 3.0.0), nl.nl-portal:besluiten (1.5.0 ~ 3.0.0)
⚔️ 공격 벡터
인증된 사용자가 GraphQL 쿼리를 사용하여 권한이 없는 다른 사용자의 데이터에 접근
🛡️ 대응 방법
해당 패키지를 3.0.1 버전 이상으로 업데이트하거나, API 게이트웨이에서 관련 GraphQL 작업을 차단
🔧 검증 코드
출력된 결과에서 해당 패키지의 버전이 취약한 범위(documenten-api <= 3.0.0 또는 besluiten 1.5.0-3.0.0)에 있는지 확인
dpkg -l | grep -E 'nl-portal:documenten-api|nl-portal:besluiten'