취약한 문자열로 비밀번호 변경 시도

개요

비밀번호 변경 시 설정된 비밀번호 복잡도 우회

재현 과정

[취약점 재현을 하기 위한 과정을 서술해 주세요]

1. 경로 : 내 정보 > 인증정보 > 비밀번호 변경

2. [step2]

3. [step3]

예상되는 취약점 발생 원인

서버측에서 추가적인 검증 미흡

비밀번호 변경 시 설정된 특수문자, 대문자, 숫자 등의 조건을 우회하여 단순 문자열로 비밀번호 변경

패치 방법

비밀번호 변경 시 클라이언트측이 아닌 서버측에서 한번 더 검증을 것을 권고 드립니다.

예상 결과 및 파급력

현재는 본인 패스워드만 취약한 문자열로 변경이 가능한 것으로 확인 되었습니다.
패스워드 변경 후 정상 로그인이 가능한 것을 확인하였습니다.

기타사항 및 레퍼런스

[그 외에 추가할 내용이 있다면 이곳에 작성해주세요.(스크린샷, 로그, PoC 등)]

• [첨부파일 / 레퍼런스]

URL)

https://bugcamp.io/api/users/password

취약한 파라미터)

newPassword

사용한 값) SHA256

03ac674216f3e15c761ee1a5e255f067953623c8b388b4459e13f978d7c846f4 (1234)