🇰🇷 한글 설명
Devolutions Server의 다중 인증(MFA) 관리 API에서 접근 제어가 부적절하여, 인증된 공격자가 조작된 HTTP 요청으로 자신에게 설정된 MFA 수단을 삭제하고 계정 보호를 비밀번호 인증만으로 낮출 수 있습니다. 영향 버전은 2026.1.6부터 2026.1.11까지입니다.
💡 쉬운 설명
로그인한 사용자가 자신의 2단계 인증 수단을 스스로 삭제할 수 있는 결함입니다. 이로 인해 계정이 비밀번호만으로 보호되어 비밀번호가 유출되면 계정 탈취 위험이 커집니다.
🇺🇸 원문 (English)
Improper access control in the multi-factor authentication (MFA) management API in Devolutions Server allows an authenticated attacker to delete their own configured MFA factors and reduce account protection to password-only authentication via crafted HTTP requests.
This issue affects Server: from 2026.1.6 through 2026.1.11.
📍 영향받는 시스템
Devolutions Server 2026.1.6 ~ 2026.1.11
⚔️ 공격 벡터
인증된 사용자가 조작된 HTTP 요청으로 MFA 관리 API를 호출하여 자신의 MFA 인증 수단을 삭제
🛡️ 대응 방법
Devolutions Server를 2026.1.11 이후의 패치된 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2026.1.6~2026.1.11 범위에 해당하면 취약하며, 2026.1.12 이상이면 패치된 상태입니다. 결과가 없으면 설치 경로를 확인하거나 관리 콘솔에서 직접 버전을 확인하세요.
grep -ri 'version' /opt/devolutions/server/ 2>/dev/null | grep -Ei '2026\.1\.[0-9]+' | head -5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server