🇰🇷 한글 설명
New API(LLM 게이트웨이 및 AI 자산 관리 시스템)의 특정 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 낮은 권한을 가진 관리자가 동일하거나 더 높은 권한을 가진 계정, 심지어 루트 계정의 패스키를 삭제할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 권한을 남용하여 다른 높은 등급의 관리자 계정 접속을 방해할 수 있는 문제입니다. 이로 인해 시스템의 핵심 관리자 계정이 잠기거나 통제권을 잃을 위험이 있습니다.
🇺🇸 원문 (English)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. From 0.9.1.3 until 1.0.0-rc.7, AdminResetPasskey in controller/passkey.go lacks the canManageTargetRole authorization check for DELETE /api/user/:id/reset_passkey, allowing a lower-privileged administrator to remove a passkey from a same-level or higher-privileged account, including a root account. This issue is fixed in version 1.0.0-rc.7.
📍 영향받는 시스템
New API 0.9.1.3 ~ 1.0.0-rc.7
⚔️ 공격 벡터
낮은 권한의 관리자가 DELETE /api/user/:id/reset_passkey API를 호출하여 타겟 계정의 패스키를 삭제
🛡️ 대응 방법
New API를 버전 1.0.0-rc.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.0.0-rc.7 이상인지 확인하여 취약점이 해결되었는지 판단합니다.
curl -s http://<target_ip>/api/version | grep -E '1.0.0-rc.7|1.0.0'
💻 영향받는 소프트웨어
Cisco Integrated Management Controller