🇰🇷 한글 설명
Froxlor 2.3.7 미만 버전에서 API 인증 시 2단계 인증(2FA)을 검증하지 않는 취약점이 발견되었습니다. 공격자가 API 키와 비밀번호를 탈취할 경우, TOTP 코드 없이도 관리자 또는 고객 계정의 권한을 획득하여 데이터와 설정을 조작할 수 있습니다.
💡 쉬운 설명
로그인할 때 추가 보안 코드(2FA)를 입력해야 하지만, API를 통해서는 이 과정을 건너뛰고 접속할 수 있는 문제입니다. 해커가 아이디와 비밀번호만 알아내면 보안 코드가 없어도 서버의 중요한 정보를 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
Froxlor is open source server administration software. Prior to 2.3.7, the API authentication path in lib/Froxlor/Api/FroxlorRPC.php and FroxlorRPC::validateAuth accepts an API key and secret for an administrator or customer account without checking type_2fa, validating a TOTP code, or invoking FroxlorTwoFactorAuth. The web interface requires a second factor for accounts with two-factor authentication enabled, but the API grants access after validating only the API credentials, expiration, API permission, and account status. An attacker who obtains an API key and secret for a protected account can call the available API functions without supplying the configured second factor, which can expose or modify customer data, domains, email and FTP accounts, databases, DNS records, and certificate material. This issue is fixed in version 2.3.7.
📍 영향받는 시스템
Froxlor version < 2.3.7
⚔️ 공격 벡터
탈취한 API 키와 비밀번호를 사용하여 2단계 인증을 우회한 API 호출
🛡️ 대응 방법
Froxlor를 최신 버전인 2.3.7 이상으로 업데이트하십시오.
🔧 검증 코드
해당 파일 내의 인증 로직을 확인하여 2FA 검증 단계가 누락되었는지 소스 코드를 분석합니다.
grep -r "FroxlorRPC::validateAuth" /path/to/froxlor/lib/Froxlor/Api/FroxlorRPC.php