CVE-2026-21994

요약

Oracle OKIT(oci-designer-toolkit) 버전 0.3.0에는 인증되지 않은 완전한 탈취로 이어지는 두 가지 심각한 잘못된 구성이 포함되어 있습니다. 공개 저장소에 노출된 하드코딩된 Flask SECRET_KEY를 통해 공격자는 자격 증명 없이도 유효한 관리자 세션 쿠키를 위조할 수 있습니다. 또한 Docker 이미지는 SSH 호스트 검증을 완전히 비활성화하여 네트워크 공격자가 인프라 배포 중에 OCI API 키와 개인 키를 가로챌 수 있게 합니다.

취약점

1. 하드코딩된 SECRET_KEY — okitclassic/okitserver/config.py:4

SECRET_KEY='8980ffsd675747jjjh'

Flask는 이 키를 사용하여 세션 쿠키에 서명합니다. 이 키가 공개 저장소에 하드코딩되어 있으므로 공격자는 자격 증명 없이 유효한 관리자 쿠키를 위조하고 OKIT 대시보드에 접근할 수 있습니다.

2. SSH 호스트 검증 비활성화 — Dockerfile:41

&& echo '  StrictHostKeyChecking no' >> /etc/ssh/ssh_config \
&& echo '  UserKnownHostsFile=/dev/null' >> /etc/ssh/ssh_config \