🇰🇷 한글 설명
AVideo API가 클라이언트의 User-Agent 헤더가 'bot'인 경우 속도 제한(Rate Limit)을 적용하지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 로그인 무차별 대입 공격 방어 체계를 우회하여 단일 IP에서 무제한으로 비밀번호 추측 시도를 수행할 수 있습니다.
💡 쉬운 설명
웹사이트가 로봇(bot)인 척하는 접속에 대해 보안 규칙을 적용하지 않는 문제입니다. 이를 통해 해커가 비밀번호를 맞출 때까지 무한정 로그인을 시도할 수 있습니다.
🇺🇸 원문 (English)
AVideo API fails to enforce rate limits when clients send a bot User-Agent header, allowing attackers to bypass all eight protected operations including login brute-force protection. Attackers can send requests with a bot User-Agent to disable rate limiting and perform unlimited password guessing attempts against any account from a single IP address.
📍 영향받는 시스템
AVideo API (Rate Limiting 기능이 활성화된 모든 버전)
⚔️ 공격 벡터
HTTP 요청 헤더의 User-Agent를 'bot'으로 설정하여 속도 제한 우회 및 무차별 대입 공격 수행
🛡️ 대응 방법
User-Agent 값에 관계없이 모든 요청에 대해 일관된 속도 제한(Rate Limiting) 정책을 적용하도록 API 로직 수정
🔧 검증 코드
User-Agent를 'bot'으로 설정했을 때 429 Too Many Requests 응답이 오지 않고 200 또는 401 응답이 오면 취약한 상태임
curl -I -A 'bot' https://api.example.com/login | grep -i 'HTTP/1.1 429'