🇰🇷 한글 설명
HyperDX 1.10.1 이하 버전에서 팀 관리 엔드포인트의 역할 기반 액세스 제어(RBAC)가 제대로 작동하지 않는 취약점이 발견되었습니다. 이로 인해 모든 팀원이 관리자 권한을 행사하여 팀원을 삭제하거나 API 키를 교체하고 팀 이름을 변경할 수 있습니다.
💡 쉬운 설명
팀의 일반 멤버가 관리자처럼 행동하여 팀의 중요한 설정을 바꾸거나 다른 사람을 쫓아낼 수 있는 보안 결함입니다. 권한 확인 절차가 누락되어 누구나 관리자 기능을 사용할 수 있는 상태입니다.
🇺🇸 원문 (English)
HyperDX through 1.10.1 fails to enforce role-based access controls in team management endpoints, allowing any team member to perform administrative actions. Attackers can delete team members including owners, rotate API keys, and rename teams by sending requests to PATCH /team/apiKey, PATCH /team/name, and DELETE /team/member endpoints.
📍 영향받는 시스템
HyperDX 1.10.1 및 그 이전 버전
⚔️ 공격 벡터
PATCH /team/apiKey, PATCH /team/name, DELETE /team/member 엔드포인트로 조작된 HTTP 요청 전송
🛡️ 대응 방법
HyperDX를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.10.1 이하인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target-host>/api/version | grep -E '1.10.1|1.10.0|1.9.0'