🇰🇷 한글 설명
Omnispace Agora Project 26.10.0 미만 버전에서 setAffectation() 함수 내의 권한 제어 결함이 발견되었습니다. 인증된 공격자가 대상 공간에 대한 권한 확인 없이 임의의 액세스 권한 레코드를 삽입할 수 있어, 테넌트 격리를 무력화하고 제한된 공간에 무단 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신이 접근할 수 없는 다른 사람의 비밀 공간에 강제로 권한을 부여할 수 있는 보안 약점입니다. 이로 인해 다른 사용자의 데이터나 공간을 몰래 들여다볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability in setAffectations() that allows authenticated attackers to insert access-right records for a caller-supplied target space without verifying the caller has rights to that space. Attackers can assign access affectations to spaces outside their own reach, breaking tenant isolation and granting unauthorized access to restricted spaces.
📍 영향받는 시스템
Omnispace Agora Project 26.10.0 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 setAffectation() 함수를 호출하여 검증되지 않은 대상 공간에 액세스 권한을 삽입하는 방식
🛡️ 대응 방법
Omnispace Agora Project를 26.10.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 26.10.0보다 낮으면 취약한 상태이며, 26.10.0 이상이면 안전합니다.
omnispace-agora --version 2>/dev/null | grep -E '26\[\.\d+\.\d+\]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access