Virtual Engineering Workbench 게시 구성 요소 템플릿 주입 문제
개발 환경 배포 도구에 로그인한 사용자가 다른 프로젝트의 자료까지 해킹할 수 있습니다.
요약
오픈소스 개발 환경 배포 플랫폼인 Virtual Engineering Workbench의 게시 구성 요소에 템플릿 주입 문제가 있습니다. 인증된 사용자가 게시용 Lambda의 권한으로 임의 코드를 실행해 여러 테넌트 프로젝트의 데이터와 자원에 접근할 수 있습니다.
해당 조건
- 제품 버전을 만들거나 수정할 수 있는 인증된 사용자
대처법
main 브랜치의 최신 버전(c146486 커밋 이후)으로 다시 배포하세요. 그전까지는 제품 버전을 만들거나 수정할 수 있는 사용자를 제한하세요. 문제를 완전히 없애는 우회 방법은 없습니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: aws.amazon.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인