🇰🇷 한글 설명
LORIS(신경영상 연구용 자체 호스팅 웹 애플리케이션)의 imaging_browser 모듈 API에서 프론트엔드의 편집 권한 검사가 누락되어, 인증된 사용자가 영상 데이터를 편집 권한 없이 수정할 수 있습니다. 영향 버전은 22.0.0 이상 27.0.4 미만, 28.0.0 이상 28.0.2 미만입니다.
💡 쉬운 설명
로그인한 사용자가 Imaging Browser에서 편집이 금지된 뇌영상 데이터를 API를 통해 몰래 수정할 수 있는 문제입니다. 편집 권한이 없어도 데이터를 바꿀 수 있어 연구 데이터의 무결성이 훼손될 수 있습니다.
🇺🇸 원문 (English)
LORIS (Longitudinal Online Research and Imaging System) is a self-hosted web application that provides data- and project-management for neuroimaging research. In versions from 22.0.0 prior to 27.0.4 and from 28.0.0 prior to 28.0.2, the `API` for the `imaging_browser` module permits edits to imaging data without checking the frontend permissions that restrict editing in Imaging Browser. An authenticated `API` caller can therefore modify imaging data without the required edit authorization. Deployments that no longer use the `API` can disable it to remove access to this endpoint. This issue is fixed in versions 27.0.4 and 28.0.2.
📍 영향받는 시스템
LORIS 22.0.0 이상 27.0.4 미만 및 28.0.0 이상 28.0.2 미만 버전
⚔️ 공격 벡터
인증된 사용자가 imaging_browser 모듈의 API 엔드포인트를 직접 호출하여 편집 권한 검사를 우회하고 영상 데이터를 수정
🛡️ 대응 방법
LORIS를 27.0.4 또는 28.0.2 이상으로 업데이트하거나, API를 사용하지 않는 경우 해당 API를 비활성화
🔧 검증 코드
출력된 버전 값이 22.0.0~27.0.4 미만 또는 28.0.0~28.0.2 미만이면 취약하며, 27.0.4 이상(28.x는 28.0.2 이상)이면 패치가 적용된 것입니다. 경로가 다르면 LORIS 설치 디렉터리에서 버전 정보를 확인하세요.
grep -rE 'version|VERSION' /var/www/loris/project/config.xml 2>/dev/null | head -5