[개인정보 노출] 인증 수준 미검증으로 주민번호 기반 연계정보 노출

개요

비밀번호 찾기 흐름의 본인인증 유효 여부 확인 엔드포인트는 인증 수준(an) 검증이 없어서, 익명 상태의 세션으로도 호출이 가능했습니다. 그 결과 응답에는 피해자의 주민번호 기반 연계정보(CI), 전화번호, 생년월일, 성별, 실명 등이 평문으로 포함되었습니다.

이 기록은 제품명, 공급업체명, 경로, 파라미터명, 재현 절차를 마스킹한 축약본입니다.

공개 정보

• 그룹: Web
• 상태: 공개됨
• 심각도: 높음
• 공개 범위: 비공개

공격 흐름

[1단계] 회원번호 기반 식별자 확보
  - 선행 객체 수준 인가 결함이 필요
 
[2단계] 인증 세션 획득
  - 실제 로그인 완료 여부를 확인하지 않음
 
[3단계] 본인인증 유효성 확인 요청
  - 익명 상태 세션으로도 성공 응답 반환
  - CI, 전화번호, 생년월일, 성별, 실명 노출

영향

• 주민번호 기반 연계정보(CI) 노출
• 실명, 전화번호, 생년월일, 성별의 동시 노출
• 스미싱, 보이스피싱, 계정 탈취 시도에 악용 가능
• 회원번호 순차 열거와 결합 시 대량 수집 가능

조치 방안

1. 해당 엔드포인트에 인증 수준 검증을 추가한다.
2. 세션과 조회 대상의 소유권 일치를 서버 측에서 검증한다.
3. CI와 같은 민감 식별정보는 응답에서 최소화한다.
4. 선행 객체 수준 인가 결함을 먼저 차단한다.

평가 결과

• 중간
• AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/SH:B/DO:A

CWE

이 마스킹된 기록에는 CWE가 공개되지 않습니다.

참고

이 레지스트리 항목은 마스킹된 포트폴리오 자리 표시자로 존재합니다. 운영 세부 사항을 생략한 채 식별자를 유지합니다.