🇰🇷 한글 설명
DotVVM 프레임워크의 AuthorizeActionFilter가 권한 확인 절차를 수행하지 않고 즉시 완료된 작업을 반환하는 취약점이 발견되었습니다. 이로 인해 보호된 명령, 뷰 모델 또는 프레젠터가 권한이 없는 사용자에게 노출될 수 있습니다. 해당 문제는 4.2.11, 4.3.15 및 5.0.0-preview09-final 버전에서 수정되었습니다.
💡 쉬운 설명
웹 애플리케이션의 보안 문지기 역할을 하는 기능이 제대로 작동하지 않아, 허가받지 않은 사용자가 중요한 기능에 접근할 수 있는 문제입니다. 마치 문을 잠그는 명령을 내렸지만 문이 실제로 잠기지 않고 바로 열려 있는 것과 같습니다.
🇺🇸 원문 (English)
DotVVM is an open source MVVM framework for web applications. Prior to 4.2.11, 4.3.15, and 5.0.0-preview09-final, AuthorizeActionFilter performs no authorization because its explicit ICommandActionFilter.OnCommandExecutingAsync, IViewModelActionFilter.OnViewModelCreatedAsync, and IPresenterActionFilter.OnPresenterExecutingAsync implementations return completed tasks instead of invoking the corresponding checks. Applications relying on this filter can therefore expose protected commands, view models, or presenters to unauthorized requests without any special bypass technique. AuthorizeAttribute correctly implements the same interfaces and can be used as a workaround. This issue is fixed in versions 4.2.11, 4.3.15, and 5.0.0-preview09-final.
📍 영향받는 시스템
DotVVM versions prior to 4.2.11, 4.3.15, and 5.0.0-preview09-final
⚔️ 공격 벡터
권한이 없는 사용자가 보호된 명령이나 뷰 모델에 직접 요청을 보내 접근하는 방식
🛡️ 대응 방법
DotVVM을 4.2.11, 4.3.15 또는 5.0.0-preview09-final 이상의 최신 버전으로 업데이트하거나, 임시 방편으로 AuthorizeAttribute를 사용하십시오.
🔧 검증 코드
출력된 DotVVM의 버전이 취약한 버전 범위(4.2.11, 4.3.15, 5.0.0-preview09-final 미만)에 해당하는지 확인합니다.
dotnet list package | grep DotVVM