🇰🇷 한글 설명
FUXA 1.3.2 및 이전 버전에서 발생하는 취약점으로, Node-RED 통합 모듈의 권한 검증 미흡으로 인해 발생합니다. 공격자가 인증되지 않은 상태에서 게스트 토큰을 획득하여 Node-RED 관리자 권한을 탈취하고, 스크립트 실행이나 파일 시스템 접근을 통해 시스템 제어권을 얻을 수 있습니다.
💡 쉬운 설명
웹 기반 제어 소프트웨어인 FUXA의 보안 구멍을 통해 해커가 관리자 권한을 몰래 얻을 수 있는 문제입니다. 이를 통해 해커는 시스템 설정을 바꾸거나 컴퓨터에 명령을 내려 위험한 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. In 1.3.2 and earlier, the allowDashboard authorization gate in server/integrations/node-red/index.js calls authJwt.verify for /nodered without inspecting the decoded identity. When nodeRedEnabled is true, secureEnabled is true, and nodeRedAuthMode is secure, a remote unauthenticated attacker can obtain a signed guest token from POST /api/heartbeat and use it to access the RED.httpAdmin editor and flow deployment API. Because the Node-RED configuration has no second adminAuth gate, the attacker can deploy function nodes or invoke fuxa.runScript and runtime.scriptsMgr.runScript, gaining control of FUXA project data, configuration, scripts, filesystem-capable runtime helpers, and potentially operating-system commands when nodeRedUnsafeModules is enabled. This issue is fixed in version 1.3.3.
📍 영향받는 시스템
FUXA 1.3.2 및 그 이전 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 /api/heartbeat를 통해 게스트 토큰을 획득한 후 Node-RED 관리자 API에 접근
🛡️ 대응 방법
FUXA를 최신 보안 패치가 적용된 버전 1.3.3 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.3.0에서 1.3.2 사이라면 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>:<port>/api/version | grep -E '1.3\.[0-2]'
💻 영향받는 소프트웨어
IBM Verify Identity Access