🇰🇷 한글 설명
Onyx 엔터프라이즈 에디션(4.3.0 이전)의 사용자 그룹 수정 및 사용자 추가 API에서 큐레이터 권한 검증이 누락되어, 큐레이터가 임의의 그룹에 계정을 추가하고 해당 그룹에 속한 문서에 접근할 수 있습니다. 문서 접근 제어 목록(ACL) 필터가 우회되어 권한 없는 문서가 노출될 수 있습니다. 4.3.0 버전에서 수정되었습니다.
💡 쉬운 설명
권한이 제한된 관리자(큐레이터)가 자신이 관리하지 않는 그룹에도 사용자를 추가할 수 있는 문제입니다. 이를 통해 본래 볼 수 없는 내부 문서에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
Onyx is an open-source AI platform. Prior to 4.3.0, Onyx Enterprise Edition's PATCH /manage/admin/user-group/{user_group_id} and POST /manage/admin/user-group/{user_group_id}/add-users endpoints in ee/onyx/server/user_group/api.py call update_user_group and add_users_to_user_group in ee/onyx/db/user_group.py without enforcing _validate_curator_can_modify_group, allowing a curator to add accounts to arbitrary groups and obtain document access through get_acl_for_user and the OpenSearch access_control_list filter. This issue is fixed in version 4.3.0.
📍 영향받는 시스템
Onyx Enterprise Edition 4.3.0 미만 버전
⚔️ 공격 벡터
큐레이터 권한을 가진 인증된 사용자가 user-group 수정/사용자 추가 API를 직접 호출하여 임의 그룹에 자신이나 다른 계정을 추가
🛡️ 대응 방법
Onyx Enterprise Edition을 4.3.0 이상으로 업그레이드하고, 큐레이터 계정의 권한 범위와 그룹 멤버십을 점검
🔧 검증 코드
출력된 버전이 4.3.0 미만이면 취약하며, 4.3.0 이상이면 패치가 적용된 것입니다. 버전 정보가 없으면 실제 배포 환경에서 직접 확인이 필요합니다.
docker images onyx* --format '{{.Repository}}:{{.Tag}}' 2>/dev/null; grep -r 'version' /opt/onyx/VERSION 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition