🇰🇷 한글 설명
2026.7.2 미만 버전의 Bitwarden Server에서 POST /collect 요청 시 호출자가 해당 조직의 구성원인지 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증된 사용자라면 누구나 임의의 조직 감사 로그에 위조된 항목을 과거 날짜로 작성할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자라면 다른 회사의 활동 기록을 마음대로 조작하거나 가짜 기록을 남길 수 있는 보안 결함입니다. 이로 인해 누가 언제 무엇을 했는지 기록하는 감사 로그의 신뢰성이 깨질 수 있습니다.
🇺🇸 원문 (English)
Bitwarden Server before 2026.7.2 does not verify that the caller is a member of the organization identified in a POST /collect request body, allowing any authenticated user to write forged, arbitrarily backdated entries into any organization's audit log.
📍 영향받는 시스템
Bitwarden Server versions before 2026.7.2
⚔️ 공격 벡터
인증된 사용자가 조작된 POST /collect 요청을 전송하여 타 조직의 감사 로그에 데이터를 삽입
🛡️ 대응 방법
Bitwarden Server를 2026.7.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2026.7.2 미만의 버전 번호가 나타나면 취약한 상태이며, 결과가 없으면 안전합니다.
curl -s http://<bitwarden-server-url>/api/version | grep -E '"version": "2026\.[0-7]\.[0-1]'