🇰🇷 한글 설명
Avo는 Ruby on Rails 애플리케이션용 관리자 패널 프레임워크입니다. 3.32.1 및 4.0.0.beta.51 이전 버전에서는 UI 및 GET 경로에서는 association attach 권한을 검사하지만, 실제 쓰기 엔드포인트인 POST /resources/:resource/:id/:related에서는 동일한 권한 검사를 수행하지 않아, 인증된 저권한 사용자가 연관 레코드를 임의로 부착할 수 있습니다. 이로 인해 권한 상승 및 테넌트 간 데이터 노출이 발생할 수 있습니다.
💡 쉬운 설명
화면에서 숨겨지거나 비활성화된 기능이라도 특정 요청을 직접 보내면 권한 없는 사용자가 데이터를 연결할 수 있습니다. 이 때문에 다른 사용자의 권한이나 데이터에 접근하게 될 수 있습니다.
🇺🇸 원문 (English)
Avo is a framework to create admin panels for Ruby on Rails apps. Prior to 3.32.1 and 4.0.0.beta.51, Avo's association attach workflow checks attach_<association>? in the UI and GET /resources/:resource/:id/:related/new path, but the actual write endpoint, POST /resources/:resource/:id/:related, does not run the same authorization check before mutating the association through Avo::AssociationsController#create. An authenticated low-privileged Avo user can bypass hidden or disabled attach controls and directly attach related records to a parent record by sending a crafted POST request, which can lead to privilege escalation and cross-tenant data exposure where associations represent authorization-bearing relationships. This issue is fixed in versions 3.32.1 and 4.0.0.beta.51.
📍 영향받는 시스템
Avo 3.32.1 미만 및 4.0.0.beta.51 미만 버전을 사용하는 Ruby on Rails 애플리케이션
⚔️ 공격 벡터
인증된 저권한 사용자가 POST /resources/:resource/:id/:related 엔드포인트에 조작된 요청을 보내 권한 검사를 우회하여 연관 레코드를 부착
🛡️ 대응 방법
Avo를 3.32.1 이상 또는 4.0.0.beta.51 이상으로 업데이트
🔧 검증 코드
출력된 avo 버전이 3.32.1 이상(3.x 계열) 또는 4.0.0.beta.51 이상이면 취약점이 수정된 것이며, 그보다 낮으면 업데이트가 필요합니다.
bundle exec gem list avo 2>/dev/null | grep -i avo