DoD 계약 업체, API 권한 부재로 U.S. 군사 기밀 노출
by DD
2개월 전
조회수 2
AI 기반 펜테스팅 도구 Strix를 통해 DoD 계약 업체의 API 권한 부재(Lack of Authorization) 취약점 발견
U.S. 군인 정보(U.S. Service Member Records) 및 기밀 군사 훈련 자료(Sensitive Military Training Materials) 무단 접근 가능
취약점 발견 후 5개월간의 비협조적인 대응과 CEO의 무책임한 태도에 대한 커뮤니티 비판(Community Criticism)
AI 펜테스팅 도구의 성능과 보안 전문가(Security Expert)의 역할 축소 가능성에 대한 논의
API 권한 부재(Lack of Authorization)의 심각성
해당 API는 권한 검증(Authorization Check) 없이 모든 데이터를 노출하여, 일반 계정으로도 다중 테넌트 환경(Multi-tenant Environment) 내의 모든 정보에 접근할 수 있었다. 특히, U.S. 군인 정보와 기밀 훈련 자료가 포함되어 있어, 데이터 유출(Data Breach) 시 심각한 OPSEC(Operational Security) 위험을 초래할 수 있다. 이는 DoD 계약 업체가 준수해야 하는 CMMC(Cybersecurity Maturity Model Certification) 및 DFARS(Defense Federal Acquisition Regulation Supplement) 규정을 위반하는 행위이다.
AI 펜테스팅 도구 Strix의 역할
Strix는 로, 애플리케이션을 동적으로 테스트하고 취약점을 검증한다. Strix는 를 매핑하고, 일반적인 사용자 세션으로 접근 가능한 데이터를 분석하여 권한 부재 취약점을 발견했다. 커뮤니티에서는 AI 기반 펜테스팅 도구의 발전이 기존 펜테스터의 역할을 대체할 수 있다는 의견과 함께, 에 대한 우려도 제기되었다.
