무슨 일이 있었나
시드 검증 완료 (10월 21일 게시): AI 채점 컨트롤러 엔드포인트는 소유권 검사를 수행하지 않아, 인증된 모든 사용자가 다른 학생의 응시에 대한 AI 채점을 얻을 수 있음.
왜 중요한가
AI 지원 채점은 증가하는 LMS 기능임; 응시별 권한 부여 누락으로 학생들이 열거 공격을 통해 대규모로 다른 학생의 AI 채점 결과를 읽거나 변조할 수 있음.
공격 경로
인증된 사용자가 open_answer_grade 엔드포인트에 대상 exeId/questionId를 포함한 요청을 전송하며, 해당 엔드포인트는 시험 응시 소유자에 대한 권한 검사가 없음; 다른 학생의 AI 채점 결과가 반환/적용됨.
영향받는 시스템
Chamilo LMS 2.0.0-alpha.4 – < 2.0.0-RC.3 (AiController::openAnswerGrade)
완화 방안
Chamilo 2.0.0-RC.3+로 업그레이드하거나 AiController::openAnswerGrade에 권한 검사를 적용하십시오.