[CVE] CVE-2025-71337 (CVSS 8.3 · 높음) [CWE-620]

핵심 요약

Flowise 3.0.10 이전 버전에서 인증된 사용자가 계정 이메일 주소를 변경할 때 기존 이메일 확인이나 현재 비밀번호 재입력 없이 변경할 수 있는 미확인 취약점(CVE-2025-71337, CVSS 8.3)이 발견되었습니다. 이 취약점은 공격자가 비밀번호 재설정 메커니즘을 악용하여 계정을 탈취할 수 있는 심각한 위험을 내포하고 있습니다. IT 감사인은 사용자 계정 관리 및 인증 절차의 보안 통제 미흡 여부를 점검하고, 특히 비밀번호 재설정 및 계정 정보 변경 시 다단계 인증(MFA) 및 추가 확인 절차의 적용 여부를 면밀히 감사해야 합니다.

💡 개선 권고안

• ✔기술적 조치Flowise를 사용하는 경우, CVE-2025-71337 취약점이 해결된 3.0.10 이상의 최신 버전으로 즉시 업데이트를 적용해야 함을 권고함.
• ✔기술적 조치계정 프로필에서 이메일 주소와 같이 민감한 정보를 변경할 때는 반드시 기존 이메일로의 변경 확인 절차 또는 현재 비밀번호 재입력 절차를 의무화하도록 시스템을 개선해야 함을 권고함.
• ✔기술적 조치비밀번호 재설정 메커니즘에 다단계 인증(MFA)을 적용하고, 추가적인 본인 확인 절차(예: 보안 질문, 등록된 보조 연락처 확인)를 강화하여 계정 탈취 위험을 최소화해야 함을 권고함.
• ✔관리적 조치모든 시스템 및 애플리케이션에 대한 정기적인 취약점 점검 및 보안 패치 관리 프로세스를 수립하고, 특히 외부 솔루션 사용 시 벤더사의 보안 권고 사항을 신속하게 반영하는 절차를 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 계정 보안의 중요성, 안전한 비밀번호 관리, 피싱 및 사회공학 공격에 대한 보안 인식 교육을 정기적으로 시행하여 사용자 부주의로 인한 계정 탈취 위험을 예방해야 함을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문