취약한 암호 정책으로 인해 사용자의 계정을 쉽게 추측하여 손상시킬 수 있습니다.

요약
취약한 비밀번호 정책 문제로 인해 애플리케이션이 현재 계정의 사용자 이름과 동일한 비밀번호를 설정할 수 있습니다. 비밀번호는 전적으로 사용자의 책임이지만, 현재 계정 아이디와 동일한 비밀번호는 보안 비밀번호 정책 적용에 따라 공격자에 의해 쉽게 노출되거나 유추될 수 있으므로 허용해서는 안됩니다.

설명
wargame.kr 응용 프로그램은 현재 사용자 ID와 동일한 암호를 사용할 수 있도록 하는 약한 암호 정책을 시행합니다. 이를 통해 공격자는 사용자 계정을 쉽게 추측할 수 있습니다. 이는 공격의 문을 여는 중요한 요소가 될 수 있으며, 현재 ID와 PW가 동일하기 때문에 사용자 계정을 도용하기 매우 쉽습니다.

따라서 wargame 응용 프로그램은 약한 암호 정책 문제로 인해 암호를 매우 쉽게 추측하여 계정을 손상시키기 매우 쉽기 때문에 사용자를 안전하게 보호할 수 없습니다.

재현 단계

1. 계정 가입 시 동일한 ID와 비밀번호를 설정하여 계정을 등록합니다. 등록 URL : http://wargame.kr/#join
2. 취약한 비밀번호 엑세스 결함으로 인해 현재 사용자 아이디와 동일한 ID로 비밀번호를 설정할 수 있습니다.

개념증명
다음은 현재 계정의 아이디와 동일한 비밀번호를 설정할 수 있음을 보여줍니다.

ID : bugbounty@test.com
PW : bugbounty@test.com

다음은 현재 사용자 아이디와 동일한 비밀번호를 설정할 수 있음을 보여줍니다.

ID : bugbounty@test.com
Name : test0159test
PW : test0159test

권장된 완화/교정 조치
현재 ID와 동일한 암호를 사용하지 못하도록 보안 조치를 취하십시오.

타격
사용자 계정과 비밀번호가 동일하기 때문에 이것은 매우 매우추측하기 쉽기 때문에 침입하기도 쉽고 계정을 손상시키기도 매우 쉽습니다. 이는 계정 탈취로 이어질 수 있으며 wargame 사용자를 안전하게 보호할 수 없습니다. 이것은 심각한 계정 탈취의 문을 엽니다.

,