🇰🇷 한글 설명
basecamp/upright의 특정 커밋에서 Alertmanager 및 Prometheus 프록시 컨트롤러에 대한 Rails CSRF 보호 기능이 비활성화되었습니다. 인증되지 않은 공격자가 로그인된 사용자의 브라우저를 유도하여 Alertmanager 침묵 생성이나 Prometheus 재설정 요청과 같은 상위 서비스의 관리 엔드포인트로 요청을 전달할 수 있습니다.
💡 쉬운 설명
웹사이트의 보안 장치 중 하나가 꺼져 있어, 공격자가 사용자의 권한을 도용해 중요한 설정을 마음대로 바꿀 수 있는 상태입니다. 사용자가 모르는 사이에 관리자 명령이 실행되어 시스템 설정이 변경될 위험이 있습니다.
🇺🇸 원문 (English)
basecamp/upright at commit efe4f2e5254ac6e57e45d2261804cca74dbbca3f disables Rails CSRF protection for its Alertmanager and Prometheus proxy controllers. An unauthenticated attacker can induce a logged-in user's browser to submit requests that are forwarded to enabled upstream write or management endpoints, such as creating an Alertmanager silence or requesting a Prometheus reload. The final impact depends on the APIs enabled by the upstream services.
📍 영향받는 시스템
basecamp/upright (commit efe4f2e5254ac6e57e45d2261804cca74dbbca3f 포함 버전)
⚔️ 공격 벡터
CSRF(사이트 간 요청 위조)를 이용한 인증된 사용자의 브라우저를 통한 관리 명령 전달
🛡️ 대응 방법
Rails CSRF 보호 기능이 활성화된 최신 버전으로 업데이트하거나 해당 컨트롤러의 보안 설정을 복구해야 합니다.
🔧 검증 코드
출력된 커밋 해시가 efe4f2e5254ac6e57e45d2261804cca74dbbca3f와 일치하면 취약한 상태입니다.