aman-parmar/cve-2025-54554CVE-2025-54554 – tiaudit REST API의 인증되지 않은 액세스로 인한 민감한 정보 노출
CVE-2025-54554는 Tera Insights가 개발한 ticrypt 플랫폼의 tiaudit 구성 요소에서 취약점을 식별합니다. 이 문제는 인증되지 않은 사용자가 REST API 엔드포인트에 접근하여 기본 SQL 쿼리 및 데이터베이스 구조에 대한 민감한 정보를 노출하도록 허용합니다.
2025년 7월 17일 이전에는 tiaudit 감사 로깅 서비스가 인증되지 않은 사용자가 해당 REST API 엔드포인트에 접근할 수 있도록 허용했습니다. 이 엔드포인트는 인증 없이 내부 SQL 쿼리 패턴과 데이터베이스 스키마 정보를 공개했습니다.
문서에 따라 처음에는 예상된 동작으로 간주되었지만, 공급업체는 이것이 정보 노출 위험을 초래한다는 점을 인정하고 접근이 인증된 사용자로만 제한되어야 한다는 데 동의했습니다. 또한 수정 사항이 구현되어 아래 참조된 문서에 반영되었습니다.
취약점 유형: 부적절한 접근 제어
공격 벡터: 로컬 (인증되지 않음)
영향: 정보 노출
영향받는 구성 요소: tiaudit의 REST API 엔드포인트
공급업체: Tera Insights
수정 상태: 2025년 7월 25일 기준 공급업체에 의해 해결됨
문서 참조: https://ticrypt.com/docs/ticrypt-backend/audit/rest
이 취약점이 유효했지만, ticrypt의 전반적인 보안 설계는 뛰어나다는 점을 언급할 가치가 있습니다. 그 아키텍처는 계층적 보안, 최소 권한, 그리고 암호화 기반 접근 강제에 대한 깊은 주의를 보여줍니다. 이는 특히 NIST 800-171과 같은 표준에 의해 관리되는 환경에서 중요합니다. 백서(https://ticrypt.com/whitepaper)와 내부 구성 요소를 검토한 후, 이전에 접해보지 못했던 보호 조치에 진심으로 감명을 받았습니다.
