CVE-2026-12673 취약점 분석 및 대응 가이드

def limit_create_for_admins
  return if Current.user.sysadmin?
  if admin_domain.default?
    return unless params[:group][:sysadmin].to_b || params[:group][:admin_level].to_i == 5
    redirect_to new_admin_group_url, alert: 'You are not permitted to add a sysadmin group.'
  else
    return unless params[:group][:domain_admin].to_b || params[:group][:admin_level].to_i == 4
    redirect_to new_admin_group_url, alert: 'You are not permitted to add a Domain Admin group.'
  end
end

POST /auth/login
{
  "email": "attacker@secondary-domain.com",
  "password": "********"
}

POST /admin/groups/testgroup HTTP/1.1
Host: liquidfiles.example.com
Cookie: session_id=xxx
Content-Type: application/x-www-form-urlencoded

group[name]=TestGroup&group[admin_level]=5&group[domain_admin]=false

# 원본 요청
group[admin_level]=3

# 수정된 요청 (Burp Suite에서 Intercept 후 Re-send)
group[admin_level]=5

PATCH /admin/groups/testgroup HTTP/1.1
Host: liquidfiles.example.com
Cookie: session_id=xxx
Content-Type: application/x-www-form-urlencoded

group[admin_level]=5&group[description]=Escalated+Group

# 타겟 사용자로 로그인 후 권한 확인
curl -X GET https://liquidfiles.example.com/api/v1/users/current \
  -H "Authorization: Bearer <target_token>" | jq '.admin_level'
# 응답: 5 (SysAdmin)

def limit_create_for_admins
  return if permitted_admin_level?
  redirect_to new_admin_group_url,
    alert: "You are not permitted to add a " \
           "#{Group.admin_level_name(requested_admin_level)} group."
end

def limit_update_for_admins
  return if permitted_admin_level?
  redirect_to edit_admin_group_url(id: params[:id]),
    alert: "You are not permitted to change group to a " \
           "#{Group.admin_level_name(requested_admin_level)} group."
end

# 관리자는 자신이 가진 권한 수준보다 높은 권한을 그룹에 부여할 수 없습니다.
# 이 검증이 없으면 Domain Admin이 그룹(및 사용자)을 System Admin로 상승시킬 수 있고,
# Admin은 Domain Admin으로 상승시킬 수 있습니다. Sysadmins는 제한이 없습니다.
def permitted_admin_level?
  return true if Current.user.sysadmin?
  requested_admin_level <= Current.user.group.admin_level
end

# 관리자 로그에서 admin_level=5 할당 시도 탐지
grep "admin_level.*5" /var/log/liquidfiles/production.log | \
  grep -v "sysadmin" | \
  awk '{print $1, $2, $7, $8}'

-- MySQL 데이터베이스 쿼리
SELECT u.email, u.name, g.name as group_name, g.admin_level
FROM users u
JOIN groups g ON u.group_id = g.id
WHERE g.admin_level = 5
  AND u.email LIKE '%@secondary-domain.%'
  AND u.created_at > '2026-06-01';

index=liquidfiles sourcetype=liquidfiles:access
  (method=POST OR method=PATCH) uri_path="/admin/groups/*"
  | rex field=post_data "group\[admin_level\]=(?<admin_level>\d+)"
  where admin_level >= 5
  | stats count by user_email, admin_level, uri_path
  | where count > 0

{
  "query": {
    "bool": {
      "must": [
        { "match": { "method": "POST" } },
        { "match": { "uri_path": "/admin/groups/*" } },
        { "regexp": { "post_data": "group\\[admin_level\\]=5" } }
      ]
    }
  }
}

alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (
  msg:"CVE-2026-12673 LiquidFiles Privilege Escalation Attempt";
  flow:to_server,established;
  content:"POST"; http_method;
  content:"/admin/groups/"; http_uri;
  content:"group[admin_level]=5"; http_client_body;
  sid:202612673;
  rev:1;
)

# 현재 버전 확인
liquidfiles --version

# 4.2.12 이상으로 업그레이드
# 백업 생성
liquidfiles backup create

# 업그레이드 실행
liquidfiles update --version 4.2.12

# 업그레이드 후 버전 확인
liquidfiles --version

-- 모든 보조 도메인의 관리자 계정 식별
SELECT d.name as domain_name, u.email, u.name, g.admin_level
FROM domains d
JOIN users u ON u.domain_id = d.id
JOIN groups g ON u.group_id = g.id
WHERE d.is_default = 0
  AND g.admin_level >= 3
ORDER BY d.name, g.admin_level DESC;

-- 모든 SysAdmin 권한 그룹 목록
SELECT g.id, g.name, g.admin_level, g.domain_id,
       COUNT(u.id) as user_count
FROM groups g
LEFT JOIN users u ON u.group_id = g.id
WHERE g.admin_level = 5
GROUP BY g.id, g.name, g.admin_level, g.domain_id;

-- 의심스러운 SysAdmin 그룹 확인
-- (최근 30일 내 생성된 SysAdmin 그룹)
SELECT g.name, g.created_at, u.email
FROM groups g
LEFT JOIN users u ON u.group_id = g.id
WHERE g.admin_level = 5
  AND g.created_at >= DATE_SUB(NOW(), INTERVAL 30 DAY);

# 관리자 인터페이스에 대한 IP 화이트리스트 구성
# /etc/liquidfiles/firewall.conf
ADMIN_WHITELIST="10.0.0.0/8,192.168.1.0/24,203.0.113.0/24"

# iptables 규칙 적용
iptables -A INPUT -p tcp --dport 443 -s $ADMIN_WHITELIST -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP

# 지난 30일간의 관리자 활동 로그 분석
grep "admin" /var/log/liquidfiles/production.log | \
  awk '{print $1, $2, $7, $8, $9}' | \
  sort | uniq -c | \
  sort -rn | head -20

# 비정상적인 그룹 수정 시도 탐지
grep -i "group.*update\|group.*create" /var/log/liquidfiles/production.log | \
  grep -v "sysadmin" | \
  tail -50

-- 모든 사용자의 그룹 소속 및 권한 수준 검증
SELECT u.email, u.name, g.name as group_name, g.admin_level,
       d.name as domain_name
FROM users u
JOIN groups g ON u.group_id = g.id
JOIN domains d ON u.domain_id = d.id
ORDER BY d.name, g.admin_level DESC, u.email;

-- 불필요한 높은 권한 보유 사용자 식별
SELECT u.email, u.name, g.admin_level
FROM users u
JOIN groups g ON u.group_id = g.id
WHERE g.admin_level >= 4
  AND u.last_login < DATE_SUB(NOW(), INTERVAL 90 DAY);

# 실시간 관리자 활동 모니터링 스크립트
#!/bin/bash
while true; do
  tail -f /var/log/liquidfiles/production.log | \
    grep --line-buffered "admin_level" | \
    while read line; do
      # Slack/Webhook 알림 전송
      curl -X POST https://hooks.slack.com/services/xxx/yyy/zzz \
        -H 'Content-Type: application/json' \
        -d "{\"text\": \"ALERT: Admin level change detected\\n$line\"}"
    done
  sleep 60
done

[권한 상승 의심 시 대응 절차]
1. 즉시 영향 받는 계정 일시 정지
2. 시스템 로그 백업 및 보존
3. 보안팀 및 경영진 보고
4. 영향 범위 조사 (접속 로그, 데이터 접근 기록)
5. 근본 원인 분석
6. 재발 방지 대책 수립 및 적용
7. 관련자 교육 및 절차 개선