🇰🇷 한글 설명
Drupal Field Collection 모듈(7.x-1.0부터 7.x-1.2까지)의 인가 취약점입니다. 'edit field collections' 권한을 가진 사용자는 상위(호스트) 엔티티에 대한 접근 권한이 없어도 해당 엔티티에 연결된 필드 컬렉션 항목을 수정하거나 삭제할 수 있습니다. 이는 노드 등 엔티티의 접근 제어를 우회하는 결과를 낳습니다.
💡 쉬운 설명
편집 권한이 있는 사용자가 본인이 수정할 수 없는 게시물의 내부 데이터까지 고칠 수 있는 문제입니다. 시스템이 게시물 자체의 편집 권한을 확인하지 않기 때문에 발생합니다.
🇺🇸 원문 (English)
Improper Authorization vulnerability in Drupal Field Collection for Drupal 7 allows a user with the "edit field collections" permission to bypass access control on the parent (host) entity.
The access check for field collection items (field_collection_item_access()) granted edit and delete access to any user holding the "edit field collections" permission without verifying the user's access to the host entity. As a result, a user with "edit field collections" but without edit/update access to the host entity (for example a node they cannot edit) could edit or delete field collection items attached to that entity, bypassing the intended entity/node access restrictions. The fix requires access to the parent entity in addition to the field collection permission.
This issue affects Field Collection for Drupal 7: version 7.x-1.0 up to and including 7.x-1.2.
📍 영향받는 시스템
Drupal 7용 Field Collection 모듈 7.x-1.0 이상 7.x-1.2 이하
⚔️ 공격 벡터
'edit field collections' 권한을 가진 인증된 사용자가 편집 권한이 없는 노드에 연결된 필드 컬렉션 항목을 직접 수정 또는 삭제
🛡️ 대응 방법
Field Collection 모듈을 7.x-1.2 이후의 수정된 버전으로 업데이트하고, 필요 시 'edit field collections' 권한을 최소한으로 부여
🔧 검증 코드
출력된 field_collection 모듈 버전이 7.x-1.2 이하이면 취약하며, 7.x-1.3 이상 또는 패치가 적용된 버전이면 해당 취약점에서 벗어난 것입니다.
drush pm-list --type=module 2>/dev/null | grep -i field_collection
💻 영향받는 소프트웨어
IBM Security Verify Access