🇰🇷 한글 설명
Cap-go 12.128.2 미만 버전에서 인증 로직 결함이 발견되었습니다. 공격자는 피해자의 이메일 주소로 계정을 미리 등록하고 2단계 인증을 설정함으로써 해당 계정을 완전히 장악할 수 있습니다. 이로 인해 공격자는 피해자의 계정 상태를 수정하고 조직 정책을 강제할 수 있는 반면, 실제 사용자는 자신의 이메일과 연결된 계정에 접근할 수 없게 됩니다.
💡 쉬운 설명
해커가 당신의 이메일 주소를 이용해 가짜 계정을 먼저 만들어 버리는 보안 구멍이 발견되었습니다. 해커가 이 계정에 보안 설정을 걸어버리면, 진짜 주인인 당신은 정작 본인 이메일로 된 계정에 들어가지 못하게 됩니다.
🇺🇸 원문 (English)
Cap-go before 12.128.2 contains an authentication logic flaw that lets an attacker register and control an account bound to a victim's email address before that email is verified. By enabling two-factor authentication on the pre-registered account, the attacker gains control over the account claimed under the victim's identity, allowing them to read and modify its state and enforce organization-level policies, while the legitimate user is denied access to the account tied to their own email.
📍 영향받는 시스템
Cap-go versions prior to 12.128.2
⚔️ 공격 벡터
이메일 인증 전 계정 등록 및 2단계 인증(2FA) 활성화를 통한 계정 탈취
🛡️ 대응 방법
Cap-go를 12.128.2 이상의 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 12.128.2 이상의 버전 숫자가 출력되면 취약점이 해결된 상태입니다.
cap-go --version 2>/dev/null | grep -E '12\.(12[8-9]|[1-9][0-9]+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access