🇰🇷 한글 설명
Hydro 온라인 저지 플랫폼의 세션 재생성 로직 결함으로 인해, 로그아웃 후에도 이전 세션 토큰이 서버에 남아 유효하게 유지될 수 있습니다. 공격자가 탈취한 오래된 세션 쿠키를 재사용하면 사용자 개입 없이 계정을 탈취하거나 개인 정보를 유출할 수 있습니다.
💡 쉬운 설명
로그아웃을 해도 예전에 사용하던 접속 열쇠가 서버에서 삭제되지 않고 그대로 남아있는 문제입니다. 해커가 이 옛날 열쇠를 훔쳐서 사용하면 사용자의 계정으로 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
Hydro is a next-generation high-performance online judge platform. From 4.10.4 until 5.0.2, the session recreation logic in packages/hydrooj/src/service/layers/base.ts creates a replacement session token without deleting the previous token from the server-side session token store, so an old sid cookie can remain valid after logout or another renewal flow. An attacker who possesses a victim's previously valid stale cookie can replay it over HTTP or HTTPS without knowing the victim's username or password and without victim interaction at exploitation time. Successful replay can take over the victim's account, disclose private data, and permit unauthorized modification or deletion of data available to that account. This issue is fixed in version 5.0.2.
📍 영향받는 시스템
Hydro platform versions 4.10.4 to 5.0.2
⚔️ 공격 벡터
탈취된 이전 세션 쿠키(sid)를 이용한 세션 재사용 공격(Session Replay)
🛡️ 대응 방법
Hydro 플랫폼을 버전 5.0.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과로 5.0.2 이상의 버전이 출력되면 취약점이 해결된 상태입니다.
curl -s http://<target-ip>/version | grep -E '5.0.2'