🇰🇷 한글 설명
Casdoor 4.0.0 버전 이하의 upload-resource API 내 controllers/resource.go 파일에서 인증이 누락되는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 원격에서 인증 없이 시스템에 접근할 수 있으며, 관련 익스플로잇이 이미 공개된 상태입니다.
💡 쉬운 설명
Casdoor라는 프로그램의 파일 업로드 기능에 보안 구멍이 있어, 로그인하지 않은 외부인도 허락 없이 시스템에 들어올 수 있습니다. 이미 공격 방법이 인터넷에 퍼져 있어 매우 위험한 상태입니다.
🇺🇸 원문 (English)
A vulnerability has been found in Casdoor up to 4.0.0. This affects an unknown function of the file controllers/resource.go of the component upload-resource API. Such manipulation leads to missing authentication. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. The vendor deleted the GitHub issue for this vulnerability without any explanation. Afterwards the vendor was contacted early about this disclosure via email but did not respond in any way.
📍 영향받는 시스템
Casdoor 4.0.0 및 그 이전 버전
⚔️ 공격 벡터
원격에서 인증 없이 upload-resource API를 호출하여 공격
🛡️ 대응 방법
Casdoor를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하거나, 해당 API에 대한 접근 제어를 강화해야 합니다.
🔧 검증 코드
인증 없이 API 호출 시 오류 메시지가 발생하지 않고 응답이 오면 취약한 상태일 가능성이 높습니다.
curl -s http://<target-ip>/api/resource | grep -i 'error' || echo 'API accessible'