🇰🇷 한글 설명
Joplin Server 3.7.2 이전 버전에서 발생하는 취약점으로, SAML 인증 시 이메일 주소만으로 기존 로컬 계정을 확인하는 과정에서 외부 계정 여부(is_external flag)를 검증하지 않습니다. 공격자가 IdP를 통해 로컬 사용자의 이메일을 인증할 수 있다면, 비밀번호 없이도 해당 계정의 세션을 획득하여 노트와 파일을 탈취하거나 수정할 수 있습니다.
💡 쉬운 설명
로그인 방식이 서로 다른 환경에서, 공격자가 다른 사람의 이메일 주소를 이용해 마치 본인인 것처럼 속여 로그인할 수 있는 문제입니다. 이를 통해 피해자의 메모나 개인 파일을 몰래 보거나 지울 수 있습니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.2, Joplin Server's UserModel.ssoLogin() returns an existing account matched by an IdP-asserted email without checking the account's is_external flag. In deployments using mixed local and SAML authentication, an attacker whose IdP session can assert a local user's email can pass POST /api/saml, receive a session for that local account, and access or modify the victim's notes, files, and settings without knowing the local password. This issue is fixed in version 3.7.2.
📍 영향받는 시스템
Joplin Server 3.7.2 미만 버전
⚔️ 공격 벡터
SAML 인증 과정에서 IdP가 주장하는 이메일 주소를 검증 없이 로컬 계정과 매칭하여 세션을 탈취하는 방식
🛡️ 대응 방법
Joplin Server를 최신 보안 패치가 적용된 3.7.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.7.2 미만(예: 3.7.1 이하)이면 취약한 상태입니다.
curl -s http://<joplin-server-url>/api/version | grep -E '3\.[0-7]\.[0-1]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server