🇰🇷 한글 설명
Homer 오픈소스 통신 관측 소프트웨어의 JWT 미들웨어에서 인증 로직 결함이 발견되었습니다. JWT 비밀키가 빈 문자열일 경우 인증 과정을 즉시 통과시켜 버리는 문제가 있으며, 기본 설정 상태에서는 모든 보호된 API 엔드포인트가 인증 없이 노출됩니다.
💡 쉬운 설명
로그인을 확인하는 열쇠가 비어있으면 문을 그냥 열어주는 보안 구멍이 발견되었습니다. 이로 인해 아무런 인증 없이도 시스템의 중요한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Homer is open source telecom observability software. Prior to version 11.0.283, both JWT middleware functions (`JWTMiddleware` and `JWTMiddlewareV4`) immediately return `next(c)` when `jwtSecret == ""`. The JWT secret defaults to an empty string. On a default installation, all protected API endpoints under `/api/v1`, `/api/v3`, and `/api/v4` are completely unauthenticated. Version 11.0.283 patches the issue.
📍 영향받는 시스템
Homer version 11.0.283 미만 버전
⚔️ 공격 벡터
인증이 필요한 API 엔드포인트에 인증 토큰 없이 직접 요청을 보내 데이터 탈취 및 조작
🛡️ 대응 방법
Homer를 버전 11.0.283 이상으로 즉시 업데이트하거나 JWT 비밀키를 반드시 설정하십시오.
🔧 검증 코드
인증 없이 API 호출 시 정상적인 응답이 오면 취약한 상태이며, 거부되면 안전한 상태입니다.
curl -s http://<target-ip>/api/v1/status | grep -q '"status":"ok"' && echo 'Vulnerable' || echo 'Not Vulnerable'