🇰🇷 한글 설명
NASA-AMMOS 비동기 네트워크 관리 시스템(ANMS)의 기본 docker-compose.yml 설정에서 amp-manager 서비스의 REST API가 호스트 네트워크 인터페이스(8089 포트)로 직접 노출됩니다. 이 과정에서 NET_ADMIN, NET_RAW 등의 권한이 부여되어 시스템의 유일한 인증 경계인 CAM 게이트웨이를 우회할 수 있습니다.
💡 쉬운 설명
시스템의 보안 문을 통하지 않고 뒷문으로 직접 접속할 수 있는 설정 오류가 발견되었습니다. 공격자가 이 통로를 이용하면 관리자 권한을 가진 네트워크 제어 기능을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
The NASA-AMMOS Asynchronous Network Management System (ANMS) reference implementation's default docker-compose.yml publishes the amp-manager service's REST API directly to the host network interface (port 8089, e.g. ":8089/tcp") with cap_add: NET_ADMIN, NET_RAW, SYS_NICE, bypassing the CAM (Configuration and Access Manager) gateway that is otherwise the system's sole authentication boundary.
📍 영향받는 시스템
NASA-AMMOS ANMS reference implementation (default docker-compose.yml 사용 시)
⚔️ 공격 벡터
호스트 네트워크의 8089 포트를 통해 인증 없이 REST API에 직접 접근
🛡️ 대응 방법
docker-compose.yml에서 포트 노출 설정을 수정하여 CAM 게이트웨이를 통해서만 접근하도록 제한하고 불필요한 cap_add 권한을 제거하십시오.
🔧 검증 코드
8089 포트가 LISTEN 상태이고 CapAdd 항목에 NET_ADMIN 또는 NET_RAW가 포함되어 있다면 취약한 상태입니다.
netstat -tln | grep :8089 && docker inspect <container_id> --format '{{ .HostConfig.CapAdd }}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Spring Cloud Gateway Server