🇰🇷 한글 설명
Flow-Like 1.0.4 미만 버전에서 'ExecuteEvents' 권한만 가진 사용자가 파일 읽기/쓰기 권한 없이도 Azure Blob Storage의 SAS 자격 증명을 획득할 수 있는 취약점입니다. 이로 인해 권한이 낮은 사용자가 앱 콘텐츠의 블롭을 직접 쓰거나 삭제할 수 있습니다. 해당 문제는 Azure Blob Storage를 백엔드로 사용하는 셀프 호스팅 배포 환경에만 적용됩니다.
💡 쉬운 설명
앱을 실행할 권한만 있는 사용자가 원래는 할 수 없는 파일 수정이나 삭제를 할 수 있는 보안 구멍이 발견되었습니다. 이 문제는 Azure 클라우드 저장소를 사용하는 직접 설치형 시스템에서만 발생합니다.
🇺🇸 원문 (English)
Flow-Like is a platform for building end-to-end use cases. Prior to version 1.0.4, `GET /api/v1/apps/{app_id}/invoke/presign` grants Azure Blob Storage SAS credentials with write and delete access to app content to any app member that has `ExecuteEvents`, even when that member lacks `ReadFiles` and `WriteFiles`. The route treats file permissions as optional after the `ExecuteEvents` gate. When the caller has neither file permission, it selects `CredentialsAccess::InvokeNone`. In the Azure credential provider, `InvokeNone` still mints a `content_sas_token` for `apps/{app_id}` with `sp=rwdl`, plus user-content and log SAS tokens. The returned shared credential is enough for the low-privilege caller to directly write or delete blobs under the app content prefix. Version 1.0.4 patches the issue. Flow-Like Studio and the hosted Flow-Like Web App are not affected. These deployments use AWS-backed storage. Self-hosted deployments are only affected if they use Azure Blob Storage as the storage backend. In affected deployments, the issue only applies to authenticated app members who have workflow execution permissions but should not have app file write/delete permissions. Users of affected self-hosted Azure deployments should update to version 1.0.4 or the latest dev branch.
📍 영향받는 시스템
Flow-Like (Azure Blob Storage 사용 시) 1.0.4 미만 버전
⚔️ 공격 벡터
ExecuteEvents 권한을 가진 인증된 사용자가 특정 API 엔드포인트(/api/v1/apps/{app_id}/invoke/presign)를 호출하여 과도한 권한이 부여된 SAS 토큰을 탈취
🛡️ 대응 방법
Flow-Like를 1.0.4 버전 또는 최신 개발 브랜치로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.0.4 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target-app>/api/v1/version | grep -E '1.0.[0-4]'