🇰🇷 한글 설명
ScadaLTS 2.8.1-release-candidate build 0 버전에서 권한 우회 취약점이 발견되었습니다. Spring Security가 URL 경로 패턴으로 DWR 엔드포인트를 제어하지만, DWR이 POST 본문의 파라미터를 기반으로 메서드를 호출하는 특성을 악용하여 인증된 사용자가 제한된 클래스의 메서드를 호출할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 원래는 접근할 수 없는 관리자 기능이나 중요한 명령을 몰래 실행할 수 있는 보안 구멍이 있습니다. 이는 보안 검사 방식의 허점을 이용해 시스템의 통제권을 우회하는 방식입니다.
🇺🇸 원문 (English)
ScadaLTS 2.8.1-release-candidate build 0 is affected by an Authorization Bypass
Spring Security gates DWR endpoints by URL path pattern, but DWR itself dispatches method calls based on the POST body parameters c0-scriptName and c0-methodName. The crossDomainSessionSecurity setting in web.xml is set to false, which disables DWR's built-in origin validation. This means any authenticated user can invoke any DWR method (regardless of the URL-based access control) by sending their request to a URL they are permitted to access (e.g. MiscDwr.initializeLongPoll.dwr) while targeting a restricted class in the POST body.
This is the systemic root cause that enables multiple other findings to be exploited as a low privilege user.
📍 영향받는 시스템
ScadaLTS 2.8.1-release-candidate build 0
⚔️ 공격 벡터
인증된 사용자가 허용된 URL로 요청을 보내면서 POST 본문에 실행하고자 하는 제한된 DWR 메서드 정보를 담아 전송
🛡️ 대응 방법
web.xml에서 crossDomainSessionSecurity 설정을 true로 변경하거나, Spring Security의 URL 기반 제어 대신 DWR 메서드 단위의 세밀한 권한 제어를 적용해야 합니다.
🔧 검증 코드
명령어 실행 시 권한 오류가 아닌 정상적인 응답이나 실행 결과가 반환된다면 취약한 상태입니다.
curl -s -X POST http://<target_ip>/dwr/MiscDwr.initializeLongPoll.dwr -d 'c0-scriptName=RestrictedClass&c0-methodName=restrictedMethod' | grep -i 'error'