CVE-2025-56224 (OTP) 검증 우회

설명

공격자는 다른 사용자의 휴대폰 번호를 사칭하고 이 취약점을 이용하여 OTP 코드를 알지 못한 채 번호를 검증할 수 있습니다.

---

CVSS 점수: 8.1 (높음)

---

공격 유형

• 원격 (인증됨)

---

영향을 받는 버전

• 8.6.8 이하 버전

---

제품 공급업체

• Ascertia

---

영향을 받는 제품 코드 베이스

• SigningHub

---

영향을 받는 구성 요소

• 휴대폰 번호 검증 기능.

---

완화 조치

• 시도 횟수가 특정 값을 초과하면 OTP 코드를 폐기합니다.

---

취약점 세부 정보

• 애플리케이션은 일회용 비밀번호(OTP) 검증 엔드포인트에 적절한 속도 제한을 적용하지 않습니다. 이로 인해 공격자는 제한 없이 OTP 코드를 자동화하고 무차별 대입할 수 있습니다. 빠른 연속으로 대량의 OTP 추측을 전송함으로써, 공격자는 휴대폰 번호의 OTP 검증 메커니즘을 우회할 수 있습니다.

---

수정된 버전

• 8.6.8 이후 버전

---

발견자:

• Yazan Abu-Nadi