🇰🇷 한글 설명
AnyCable 1.6.15 미만 버전의 Pusher 호환 REST API에서 HMAC 검증 시 요청 본문의 해시값을 제대로 계산하거나 비교하지 않는 취약점이 발견되었습니다. 공격자는 유효한 서명을 탈취하여 본문 내용을 변조하거나, 타임스탬프 검증 부재를 악용해 서명을 무한히 재사용함으로써 임의의 이벤트를 브로드캐스트할 수 있습니다.
💡 쉬운 설명
인증 도장이 찍힌 편지를 가로챈 뒤, 도장은 그대로 두고 편지 내용만 몰래 바꿔치기할 수 있는 보안 결함입니다. 이로 인해 공격자가 가짜 메시지를 사용자들에게 마음대로 보낼 수 있습니다.
🇺🇸 원문 (English)
AnyCable is a realtime server for reliable two-way communication that supports any backend. Prior to 1.6.15, the Pusher-compatible REST API in pusher/http.go includes the caller-supplied body_md5 value in the HMAC input but does not calculate the digest of the received request body or compare it with the signed value. An attacker who obtains a legitimate signed POST request can retain its query parameters and auth_signature while replacing the body, causing Handler and handleEvents to accept and broadcast attacker-selected event content. The absence of an auth_timestamp freshness check also allows the captured signature to be replayed indefinitely. This can forge server-side events, modify application state, or deliver attacker-controlled messages to WebSocket clients within the signed request's application context. This issue is fixed in version 1.6.15.
📍 영향받는 시스템
AnyCable versions prior to 1.6.15
⚔️ 공격 벡터
유효한 서명이 포함된 POST 요청의 본문을 변조하거나 캡처된 서명을 재사용하는 리플레이 공격
🛡️ 대응 방법
AnyCable를 버전 1.6.15 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.15 미만인 경우 취약한 상태입니다.
go list -m anycable 2>/dev/null | grep -E 'anycable [0-9]+\.[0-9]+\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server