🇰🇷 한글 설명
Eclipse Arrowhead 5.0.0에서 5.2.1 버전 사이의 관리자 인증 게이트웨이에서 경로 인코딩 불일치로 인한 인증 우회 취약점이 발견되었습니다. 공격자가 URL 인코딩을 사용하여 관리용 엔드포인트 검사를 우회하면, 권한이 없는 사용자도 관리자 계정을 생성하여 시스템 전체의 제어권을 획득할 수 있습니다.
💡 쉬운 설명
관리자 전용 페이지를 보호하는 문이 특수 문자로 변형된 주소를 제대로 인식하지 못해 열려버리는 문제입니다. 이를 통해 일반 사용자가 관리자 권한을 탈취하여 시스템을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
In Eclipse Arrowhead versions from 5.0.0 to 5.2.1 the management-authorization gate that protects every /…/mgmt/… REST endpoint decides whether to apply its check by calling request.getRequestURL().toString().contains("/mgmt/"). Tomcat returns getRequestURL() un-decoded, while Spring MVC's DispatcherServlet routes on the decoded path. Requesting /serviceregistry/%6Dgmt/systems (%6D == m) therefore fails the substring check — the filter falls through without authorising — yet is decoded to /serviceregistry/mgmt/systems and dispatched to the management controller. Spring Security's StrictHttpFirewall (active via spring-boot-starter-security in arrowhead-common) only rejects encoded / \ . % ; and null bytes, so percent-encoded ASCII letters pass through. Any authenticated system — regardless of privilege — can reach every management operation, including POST /authentication/mgmt/identities which creates new sysop accounts, yielding full administrative takeover of the local cloud.
📍 영향받는 시스템
Eclipse Arrowhead versions 5.0.0 to 5.2.1
⚔️ 공격 벡터
URL 인코딩된 경로(예: %6D)를 사용하여 관리자 인증 필터를 우회한 후 관리용 REST 엔드포인트에 접근
🛡️ 대응 방법
Eclipse Arrowhead를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 경로 검증 로직을 디코딩된 경로 기준으로 수정해야 합니다.
🔧 검증 코드
출력된 결과에 설치된 Arrowhead 버전이 5.0.0에서 5.2.1 사이의 범위에 포함되는지 확인합니다.
grep -E 'arrowhead' package_list.txt | grep -E '5\.[0-2]\.[0-1]'