🇰🇷 한글 설명
CodeChecker 웹 서버가 다중 API 워커 프로세스(기본 설정)로 실행될 때 로그아웃 시 세션 토큰을 완전히 무효화하지 못합니다. 로그아웃은 요청을 처리한 단일 워커의 캐시와 공유 DB 레코드만 지우므로, 다른 워커들은 세션 만료 시점까지 오래된 메모리 사본으로 폐기된 토큰을 계속 인정합니다.
💡 쉬운 설명
사용자가 로그아웃해도 이전에 훔쳐간 로그인 토큰이 일부 서버 프로세스에서 여전히 유효하게 작동할 수 있습니다. 따라서 공격자가 로그아웃 이후에도 사용자인 척 접근할 수 있습니다.
🇺🇸 원문 (English)
CodeChecker's web server fails to fully invalidate a session token on logout when the server runs with more than one API worker process (the default). Each worker process maintains its own
in-memory session cache; logout only clears the cache of the single worker that handles the request (plus the shared database record). Other workers continue to honor the destroyed token
from their stale in-memory copies until the session's lifetime expires. An attacker who has captured a valid token can therefore keep impersonating the user after the user has logged out.
📍 영향받는 시스템
CodeChecker 웹 서버 (다중 API 워커로 실행되는 기본 설정 환경, 취약 버전은 공식 advisory 확인 필요)
⚔️ 공격 벡터
유효한 세션 토큰을 탈취한 공격자가 사용자의 로그아웃 이후에도 워커 캐시에 남은 토큰으로 인증된 요청을 계속 보냄
🛡️ 대응 방법
CodeChecker를 패치된 최신 버전으로 업그레이드하고, 패치 전까지는 워커 수를 1로 설정하거나 세션 수명을 짧게 조정하며, 의심 시 토큰을 재발급합니다.
🔧 검증 코드
출력된 Version 값을 CVE 공개 advisory에 명시된 취약 버전 범위와 비교하여, 범위 안에 있으면 취약 가능성이 있고 패치된 버전이면 해당 취약점이 해결된 것입니다. 설치되어 있지 않으면 아무 출력도 나오지 않습니다.
pip show codechecker 2>/dev/null | grep -i version