IXP Manager API 키 관리 취약점(IDOR)을 통한 타 사용자 권한 탈취 보안 권고 (CVE-2026-63338)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTIXP Manager 7.3.0 미만 버전을 사용하는 모든 인터넷 교환 지점(IXP) 관리 시스템
인증된 공격자가 타 사용자의 API 키 식별자를 추측하여 권한 없이 조회 및 수정함으로써 시스템 관리 권한 탈취 가능
IXP Manager를 최신 보안 패치가 적용된 v7.3.0 이상으로 즉시 업데이트
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND해당 취약점을 해결하기 위해서는 공식 패치가 포함된 v7.3.0 버전으로의 업그레이드가 필수적입니다.
1. 패치 적용 방법
# IXP Manager 설치 디렉토리로 이동
cd /var/www/ixpmanager
# 최신 소스 가져오기 및 버전 전환
git fetch
git checkout v7.3.0
# 의존성 업데이트 및 데이터베이스 마이그레이션
composer install --no-dev
php artisan migrate2. 임시 완화 조치
즉각적인 업데이트가 어려운 경우, WAF(Web Application Firewall)에서 /api-key/edit 및 /api-key/update 경로에 대한 요청 중 본인 소유가 아닌 ID를 호출하는 비정상적인 트래픽 패턴을 모니터링하고 차단하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
IXP Manager의 ApiKeyController에서 발생하는 부적절한 권한 검증 취약점(CWE-639, CWE-863)입니다. API 키의 수정 및 업데이트 경로에서 시스템이 요청된 레코드의 식별자(ID)만 확인하고, 해당 레코드가 현재 요청을 보낸 사용자(user_id)의 소유인지 검증하지 않는 로직 결함이 발견되었습니다. 이로 인해 공격자는 단순한 파라미터 변조(Insecure Direct Object Reference)를 통해 다른 사용자의 API 키를 탈취하거나 수정하여 IXP 인프라 전체에 대한 비인가 접근 권한을 획득할 수 있습니다.
공식 보안 권고문 및 참조 링크
IXP Manager is a full-stack web application for managing Internet Exchange Points. Prior to version 7.3.0, an authenticated user can view and edit a resource belonging to another user without authorization. The API-key edit/update path in `ApiKeyController` selects records by identifier without checking that `user_id` matches the caller, allowing access to another user's API-key record. This issue is fixed in version 7.3.0.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.