🇰🇷 한글 설명
Maestro의 REST API 쓰기 엔드포인트에 적절한 인증 미들웨어가 누락된 결함이 발견되었습니다. 이를 통해 원격 공격자가 소비자 및 리소스 번들을 생성, 수정 또는 삭제하는 등 권한 없는 쓰기 작업을 수행할 수 있으며, 이는 데이터 무결성 문제나 서비스 거부(DoS)로 이어질 수 있습니다.
💡 쉬운 설명
Maestro라는 프로그램의 관리 기능에 비밀번호 확인 절차가 빠져 있는 상태입니다. 해커가 아무런 인증 없이 시스템의 데이터를 마음대로 바꾸거나 삭제하여 서비스를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Maestro. Its REST API write endpoints were registered without proper authentication middleware. This allows a remote attacker to perform unauthorized write operations, such as creating, modifying, or deleting consumers and resource bundles. This could lead to data integrity issues or a denial of service (DoS).
📍 영향받는 시스템
Maestro (REST API 쓰기 엔드포인트 미들웨어 미적용 버전)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 REST API를 통해 직접 쓰기 요청 전송
🛡️ 대응 방법
REST API 쓰기 엔드포인트에 적절한 인증 미들웨어를 적용하고 보안 패치를 업데이트하십시오.
🔧 검증 코드
인증 없이 200 OK 또는 201 Created 응답이 오면 취약한 상태이며, 401 Unauthorized 또는 403 Forbidden이 오면 안전합니다.
curl -i -X POST http://<target-ip>/api/v1/consumers -d '{"name":"test"}'