🇰🇷 한글 설명
FUXA 소프트웨어의 인증 메커니즘 결함으로 인해, 사용자가 삭제되거나 권한이 변경되어도 기존의 유효한 토큰을 사용하여 권한을 계속 유지할 수 있습니다. 공격자는 탈취한 토큰을 통해 계정 삭제나 권한 박탈 이후에도 관리자 권한을 지속적으로 갱신하며 시스템을 조작할 수 있습니다.
💡 쉬운 설명
사용자 계정을 삭제하거나 권한을 뺏어도, 이미 로그인된 상태라면 로그아웃되지 않고 계속 관리자 권한을 사용할 수 있는 보안 허점입니다. 이를 통해 공격자는 시스템 설정 변경이나 백도어 생성과 같은 위험한 행동을 지속할 수 있습니다.
🇺🇸 원문 (English)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. In 1.3.2 and earlier, POST /api/refresh in server/api/auth/index.js falls back from current user data to decoded.groups, including when the user is deleted or groups is zero, and POST /api/heartbeat in server/api/index.js re-signs inbound JWT claims without validating the current database record. An attacker who possesses a previously issued privileged refresh cookie or access token can continue minting privileged JWTs after account deletion, disablement, role removal, or demotion. Continued refresh-cookie rotation can extend the stale session and preserve unauthorized access to user management, project manipulation, runtime configuration, scripts, and backdoor-account creation. This issue is fixed in version 1.3.3.
📍 영향받는 시스템
FUXA 1.3.2 및 이전 버전
⚔️ 공격 벡터
기존에 발급된 권한 있는 리프레시 쿠키 또는 액세스 토큰을 이용한 JWT 재서명 및 갱신
🛡️ 대응 방법
FUXA를 최신 버전인 1.3.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.3.3 미만이면 취약한 버전이 설치된 것입니다.
npm list -g fuxa 2>/dev/null | grep -E 'fuxa@([0-9]+\.[0-9]+\.[0-9]+)'
💻 영향받는 소프트웨어
Multi-Domain Security Management Server