🇰🇷 한글 설명
머신러닝 실무자를 위한 오픈소스 주석 도구인 Doccano 1.8.5 이하 버전에서 부적절한 접근 제어 취약점이 발견되었습니다. Project Example Detail 엔드포인트의 ExampleDetail 함수를 조작하여 권한이 없는 데이터에 접근할 수 있습니다. 이 취약점은 원격에서 공격이 가능하며 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
Doccano라는 데이터 라벨링 도구에서 권한 확인이 제대로 이루어지지 않는 문제가 있습니다. 해커가 원격에서 이 허점을 이용해 허가되지 않은 프로젝트의 상세 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in Doccano Open Source Annotation Tools for Machine Learning Practitioners and Auto Labeling Pipeline Module to Annotate a Document Automatically up to 1.8.5. Affected by this issue is the function ExampleDetail of the file /v1/projects/1/examples/ of the component Project Example Detail Endpoint. Such manipulation leads to improper access controls. The attack may be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
Doccano Open Source Annotation Tools 1.8.5 이하 버전
⚔️ 공격 벡터
원격에서 특정 API 엔드포인트(/v1/projects/1/examples/)를 조작하여 접근
🛡️ 대응 방법
최신 보안 패치가 적용된 버전으로 업데이트하거나 접근 제어 로직을 점검하십시오.
🔧 검증 코드
명령어 결과에 1.8.5 이하의 버전 번호가 출력되면 취약한 버전이 설치된 상태입니다.
curl -s http://localhost:8080/version | grep -E '1\.[0-8]\.[0-5]'