🇰🇷 한글 설명
AIL 시스템에서 2단계 인증(OTP) 코드 검증 시 실패 횟수에 대한 제한이 없어 발생하는 취약점입니다. 공격자가 비밀번호 인증을 통과한 후 무제한으로 OTP 코드를 대입하는 브루트포스 공격을 통해 2차 인증을 우회하고 계정에 무단 접속할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 추가 인증 번호를 맞출 때까지 계속해서 번호를 찍어볼 수 있는 보안 허점이 발견되었습니다. 이를 통해 해커가 비밀번호를 알아낸 뒤 추가 인증까지 뚫고 계정을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
AIL did not restrict repeated failed attempts to verify a two-factor authentication (OTP) code. An attacker who had reached the 2FA verification step, such as after successfully completing the password-authentication stage, could submit an unlimited number of OTP guesses. This could enable brute-force guessing of a valid code and bypass the intended second authentication factor, resulting in unauthorized account access.
The patch introduces per-user failed-OTP tracking, blocks verification after 30 failed attempts for one hour, clears the counter after a successful OTP verification, and provides administrator recovery actions to purge affected lockouts.
📍 영향받는 시스템
AIL (Authentication Interface Layer) - 패치 적용 전 버전
⚔️ 공격 벡터
2단계 인증 단계에서 무제한 OTP 코드 대입을 통한 브루트포스 공격
🛡️ 대응 방법
사용자별 OTP 실패 횟수를 추적하여 30회 실패 시 1시간 동안 차단하는 패치를 적용하십시오.
🔧 검증 코드
설정 파일 내에 OTP 실패 제한 관련 설정값이 존재하는지 확인하여 패치 여부를 판단합니다.
grep -r "OTP_MAX_ATTEMPTS" /path/to/ail/config/ || echo "Patch not detected"
💻 영향받는 소프트웨어
IBM Security Verify Access