🇰🇷 한글 설명
Misskey는 오픈소스 연합형 소셜 미디어 플랫폼입니다. 2026.6.0 이전 버전에서는 UserAuthService의 TOTP(시간 기반 일회용 비밀번호) 인증에서 사용된 토큰 검증이 부족하여, 유효 시간 단계 내에서 일회용 코드를 재사용할 수 있습니다. 공격자가 자격 증명과 TOTP 코드를 동시에 획득하면 코드를 재사용해 무단 작업을 수행할 수 있으며, 이는 계정 탈취로 이어질 수 있습니다. 이 문제는 2026.6.0 버전에서 수정되었습니다.
💡 쉬운 설명
이 취약점은 2단계 인증 코드를 한 번 쓴 뒤에도 같은 시간 안에 다시 쓸 수 있게 만듭니다. 비밀번호와 인증 코드가 함께 노출되면 공격자가 계정에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. Prior to 2026.6.0, Misskey contains a vulnerability in Time-based One-Time Password (TOTP) authentication in UserAuthService where insufficient validation of used tokens allows the reuse of a single-use code within its valid time step. If both credentials and a TOTP code are obtained concurrently, an attacker may reuse the code to perform unauthorized actions, potentially leading to account takeover. This issue is fixed in version 2026.6.0.
📍 영향받는 시스템
Misskey 2026.6.0 미만 버전
⚔️ 공격 벡터
비밀번호와 TOTP 코드를 동시에 탈취한 뒤, 동일 시간 단계 내에 같은 코드를 재사용하여 인증을 우회
🛡️ 대응 방법
Misskey를 2026.6.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 version 값이 2026.6.0 미만이면 취약하며, 2026.6.0 이상이면 패치가 적용된 것입니다.
grep -rE '"version"' /path/to/misskey/package.json 2>/dev/null | head -1