🇰🇷 한글 설명
LubeLogger 1.6.8 미만 버전에서 인증된 사용자가 다른 사용자의 차량 기록을 자신의 차량으로 복사할 수 있는 권한 검증 결함이 발견되었습니다. 공격자는 DuplicateRecordsToOtherVehicles 엔드포인트를 악용하여 타인의 서비스, 연료, 점검 기록 및 첨부 파일 경로를 탈취하고 복제본을 생성할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 차량 관리 기록을 몰래 자신의 차량 데이터로 복사해올 수 있는 보안 취약점입니다. 이 과정에서 다른 사용자의 개인적인 차량 유지보수 정보와 파일 경로가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
LubeLogger is a self-hosted, open-source, web-based vehicle maintenance and fuel mileage tracker. Prior to 1.6.8, an authenticated user could submit caller-controlled recordIds to the DuplicateRecordsToOtherVehicles endpoint while naming destination vehicleIds the user could edit. The endpoint authorized the destination vehicles but fetched source records in Controllers/VehicleController.cs without checking UserCanEditVehicle for each existingRecord.VehicleId. This missing source-vehicle authorization allowed service, collision, upgrade, fuel, tax, supply, note, odometer, reminder, plan, inspection, and equipment records belonging to another user to be copied into an attacker-controlled vehicle, exposing record contents and attachment paths and creating persistent copies. This issue is fixed in version 1.6.8.
📍 영향받는 시스템
LubeLogger 1.6.8 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 recordId를 포함한 API 요청을 DuplicateRecordsToOtherVehicles 엔드포인트로 전송
🛡️ 대응 방법
LubeLogger를 최신 보안 패치가 적용된 1.6.8 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 1.6.8 이상의 버전 번호가 나타나면 취약점이 해결된 상태입니다.
curl -s http://<target-ip>/version | grep -E '1.6.8'