🇰🇷 한글 설명
Ruby on Rails용 관리자 패널 프레임워크인 Avo의 특정 버전에서 파일 업로드 권한 검증이 누락되는 취약점이 발견되었습니다. 인증된 사용자가 정책을 우회하여 레코드의 첨부 파일 내용, 파일명, 메타데이터를 임의로 수정하거나 추가할 수 있습니다.
💡 쉬운 설명
관리자 페이지를 만드는 도구에서 권한이 없는 사용자도 파일을 마음대로 올리거나 바꿀 수 있는 보안 구멍이 발견되었습니다. 이로 인해 허가되지 않은 파일이 시스템에 저장될 위험이 있습니다.
🇺🇸 원문 (English)
Avo is a framework to create admin panels for Ruby on Rails apps. From version 2.28.0 to before version 3.32.0, Avo's direct attachment upload endpoint lacks server-side upload authorization and bypasses the documented field-level upload policy methods such as upload_{FIELD_ID}?. An authenticated Avo user who can reach the Avo attachment upload endpoint can replace or add attachment content, including binary content, filename, and content-type metadata, on a resolved record even when both update? and upload_<field>? policies deny the operation. This primarily affects multi-role Avo Pro/Advanced-style deployments where non-administrator or restricted operator users can reach Avo and per-record or per-field operations are expected to be enforced by policies. This issue has been patched in version 3.32.0.
📍 영향받는 시스템
Avo framework version 2.28.0 to before 3.32.0
⚔️ 공격 벡터
인증된 사용자가 서버 측 권한 검증을 우회하여 직접 첨부 파일 업로드 엔드포인트에 요청을 전송
🛡️ 대응 방법
Avo 프레임워크를 버전 3.32.0 이상으로 업데이트
🔧 검증 코드
출력된 avo의 버전이 3.32.0 미만인지 확인
gem list avo | grep -E 'avo'