🇰🇷 한글 설명
Progress Sitefinity의 특정 버전에서 사용자 제어 키를 통한 권한 우회 취약점이 발견되었습니다. 인증된 원격 공격자가 다른 사용자의 계정 속성을 수정할 수 있어 계정 탈취로 이어질 수 있습니다. 공격 성공을 위해서는 저권한 사용자에게 노출되지 않는 특정 값에 대한 지식이 필요합니다.
💡 쉬운 설명
로그인한 사용자가 권한을 넘어서 다른 사람의 개인정보나 계정 설정을 마음대로 바꿀 수 있는 보안 결함입니다. 이를 통해 공격자가 다른 사용자의 계정을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
CWE-639: Authorization Bypass Through User-Controlled Key in web services in Progress Sitefinity 15.2.x before 15.2.8441, 15.3.x before 15.3.8531, and 15.4.x before 15.4.8630 allows a remote authenticated attacker to modify account properties of other users, potentially leading to account compromise. Successful exploitation requires knowledge of values that are not generally exposed to low-privileged users.
📍 영향받는 시스템
Progress Sitefinity 15.2.x (< 15.2.8441), 15.3.x (< 15.3.8531), 15.4.x (< 15.4.8630)
⚔️ 공격 벡터
인증된 원격 공격자가 조작된 키를 사용하여 웹 서비스의 권한 검증을 우회함
🛡️ 대응 방법
Sitefinity를 최신 보안 패치가 적용된 버전(15.2.8441, 15.3.8531, 15.4.8630 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과로 출력되는 버전 번호가 취약한 버전 범위 내에 있는지 확인하십시오.
curl -s http://<target-sitefinity-url>/sitefinity/api/version | grep -E '15.2\[0-9]{4,}|15.3\[0-9]{4,}|15.4\[0-9]{4,}'