🇰🇷 한글 설명
IceHRM 36.0.0 미만 버전에서 7개의 REST 하위 리소스 엔드포인트에 대한 직원 소유권 검증이 누락되었습니다. 이를 통해 인증된 직원이 임의의 직원 ID를 사용하여 동료의 기술, 교육, 자격증, 휴가 등 민감한 인사 기록을 열람할 수 있습니다.
💡 쉬운 설명
회사 시스템에 로그인한 직원이 다른 직원의 개인 정보나 인사 기록을 몰래 훔쳐볼 수 있는 보안 결함입니다. 공격자가 다른 사람의 ID 번호만 입력하면 해당 직원의 상세 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
IceHRM before 36.0.0 fails to validate employee ownership on seven REST sub-resource endpoints, allowing authenticated employees to read any colleague's HR records. Attackers can substitute arbitrary employee IDs in skill, education, certification, language, leave, attendance, and status endpoints to access sensitive personnel data.
📍 영향받는 시스템
IceHRM 36.0.0 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 REST API 요청 시 직원 ID를 임의로 변경하여 접근
🛡️ 대응 방법
IceHRM을 최신 버전(36.0.0 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 36.0.0 미만이면 취약한 상태이며, 36.0.0 이상이면 안전합니다.
curl -s http://<target_ip>/api/version | grep -E '36\.[0-9]+'