🇰🇷 한글 설명
CVAT 2.17.0부터 2.72.0 버전 사이에서 Worker 권한을 가진 사용자가 예측 가능한 작업 기반 요청 ID를 악용할 수 있습니다. 이를 통해 접근 권한이 없는 작업의 자동 주석 요청을 조회하거나 다른 사용자가 시작한 요청을 취소할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
권한이 낮은 사용자가 규칙적인 번호 체계를 이용해 남의 작업 내용을 몰래 보거나 다른 사람이 시킨 일을 마음대로 취소할 수 있는 문제입니다. 마치 옆집 우편함 번호가 규칙적이라서 내 것인 줄 알고 남의 편지를 열어보는 것과 비슷합니다.
🇺🇸 원문 (English)
CVAT is an open source interactive video and image annotation tool for computer vision. From 2.17.0 until 2.72.0, a user with the Worker role can use predictable task-based request IDs with the lambda request retrieve and destroy endpoints to view automatic annotation requests for tasks or jobs the user cannot access and cancel requests initiated by other users. This issue is fixed in version 2.72.0.
📍 영향받는 시스템
CVAT version 2.17.0 to 2.72.0
⚔️ 공격 벡터
예측 가능한 요청 ID를 이용한 Lambda 요청 조회 및 파괴 엔드포인트 악용
🛡️ 대응 방법
CVAT를 최신 보안 패치가 적용된 버전인 2.72.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.17.0 이상 2.72.0 미만인지 확인하여 취약 여부를 판단합니다.
cvat_version_cmd=$(cvat --version 2>/dev/null || echo 'unknown'); echo $cvat_version_cmd