Patch Ticker

ash_authentication 2단계 인증 설정 우회 및 로그인 시도 제한 누락

Elixir 로그인 라이브러리 결함으로 계정이 뚫릴 수 있습니다.

요약

ash_authentication은 Elixir 앱의 로그인 기능을 돕는 라이브러리입니다. 여러 결함으로 다른 사람의 계정에 공격자가 만든 2차 인증을 심거나, 비밀번호와 일회용 코드를 제한 없이 추측하거나, 비밀번호를 바꾼 뒤에도 기존 로그인이 살아 있을 수 있습니다.

해당 조건

  • TOTP 설정 동작을 사용자가 고른 레코드 키로 노출한 애플리케이션(AshJsonApi, AshGraphql, 사용자 조회 컨트롤러 등)
  • brute_force_strategy를 설정했지만 보호 대상 동작을 리소스에 직접 정의하고 전처리를 넣지 않은 경우
  • apply_on_password_change? true 설정과 비원자적 비밀번호 변경

대처법

5.0.0-rc.16으로 업데이트하세요. 4.x를 쓰면 4.15.1로 업데이트하세요. 그때까지는 설정 동작을 로그인한 본인 계정으로만 호출하고, 보호 동작에 전처리를 추가하세요.

내 제품에 맞는 버전 이상으로 업데이트하세요:

  • ash_authentication 5.0 5.0.0-rc.16 이상
  • ash_authentication 4.x 4.15.1 이상

대상 제품과 운영체제

  • ash_authentication

CVE 번호

원문 링크

시각

처음 게시

처음 확인