🇰🇷 한글 설명
KnowStreaming 3.4.1 이하 버전에서 REST API 엔드포인트에 대한 역할 기반 액세스 제어(RBAC)가 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 인증된 모든 사용자가 보호된 기능에 접근할 수 있으며, 공격자가 ID 관리 엔드포인트를 호출하여 관리자 계정을 생성하거나 권한을 탈취할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 관리자 권한을 가질 수 있는 보안 구멍이 발견되었습니다. 해커가 일반 사용자 계정으로 접속해 시스템 전체를 제어하는 관리자 계정을 마음대로 만들 수 있습니다.
🇺🇸 원문 (English)
KnowStreaming through 3.4.1 fails to enforce role-based access control on REST API endpoints, allowing any authenticated user to access protected functionality. Attackers can call identity-management endpoints to create administrator accounts or grant themselves administrative privileges without proper authorization.
📍 영향받는 시스템
KnowStreaming 3.4.1 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 없는 REST API 엔드포인트를 호출하여 관리자 권한 획득
🛡️ 대응 방법
KnowStreaming을 최신 보안 패치가 적용된 버전으로 업데이트하고 API 엔드포인트에 대한 RBAC 설정을 강화하십시오.
🔧 검증 코드
일반 사용자 권한의 API 호출 시 관리자 관련 정보나 생성 권한이 응답에 포함되면 취약한 상태입니다.
curl -s -X GET http://<target-ip>/api/v1/identity-management/users | grep -E 'admin'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access