🇰🇷 한글 설명
Microsoft Container Migration Solution Accelerator 2.1.2 및 이전 버전에서 인증된 사용자가 다른 사용자의 프로세스를 읽고, 쓰고, 삭제할 수 있는 IDOR(부적절한 직접 객체 참조) 취약점이 발견되었습니다. 이 취약점은 API 엔드포인트에서 소유권 확인 절차가 누락되어 발생하며, 동일 조직 내 다른 사용자의 마이그레이션 데이터에 무단으로 접근하고 수정할 수 있게 합니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 작업 파일이나 프로세스를 마음대로 보고 지울 수 있는 보안 결함입니다. 시스템이 '이 사용자가 이 파일을 볼 권한이 있는지'를 제대로 확인하지 않아 발생합니다.
🇺🇸 원문 (English)
The Microsoft Container Migration Solution Accelerator is a multi-service application that provides a multi-agent, AI-driven migration solution for moving container service configurations to Azure Kubernetes Service. In version 2.1.2 and earlier, a security vulnerability was identified in the Container Migration Solution Accelerator, specifically an authenticated IDOR (Insecure Direct Object Reference) that allows users to read, write, and delete processes belonging to other authenticated users. The issue affects multiple API endpoints, where ownership checks are missing, enabling unauthorized access and modification of migration data across users within the same organization. The vulnerability is present in both process and file management APIs, and the application relies on Entra ID authentication but lacks proper authorization controls between users. Authenticated users are able to access, modify, and delete processes and files belonging to other users without proper authorization checks.
📍 영향받는 시스템
Microsoft Container Migration Solution Accelerator version 2.1.2 and earlier
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 다른 사용자의 객체 ID를 참조하여 권한 없이 데이터에 접근
🛡️ 대응 방법
해당 솔루션을 최신 보안 패치가 적용된 버전으로 업데이트하고 API 엔드포인트에 객체 소유권 검증 로직을 추가
🔧 검증 코드
자신의 권한이 없는 다른 사용자의 프로세스 ID로 API 요청을 보냈을 때 데이터가 반환되면 취약한 상태임
curl -s -X GET https://<target-api-endpoint>/api/processes/<other-user-process-id> | grep -q 'process_data'