Grok 앱 35,578개, 기본 링크 설정으로 공개 노출

GhostShares(Claroc)는 패시브 DNS 서브도메인 열거를 통해 로그인 없이 접근 가능한 35,578개의 Grok 앱을 식별함. 이는 온라인에 있는 37,571개 앱 중 94.7%에 해당하며, 기본 설정인 '링크를 가진 누구나'로 인해 발생함.
SpaceXSI와 X 직원이 생성한 24개 앱이 노출됨. 해당 앱에는 기밀 온보딩 계획, 594개 계정의 영업 지역 지도, 연방 광고 제안서가 포함됨.
30개 외부 조직의 데이터가 유출됨. 이 중 1,000명 이상 직원을 보유한 조직은 26개, 포춘 500 기업은 6개이며 건설, 에너지, 의료 등 다양한 업종을 아우름.
Grok의 기본 보안 구성은 데이터베이스가 있는 앱에 대한 인증 없는 접근을 허용함. 또한 로그인 플로우가 멤버십을 검증하지 않고 사용자를 팀에 추가하여 소유자가 아닌 사용자가 데이터를 수정할 수 있게 함(Claroc의 자체 앱에서 테스트됨).
SpaceXSI는 직원용 24개 앱을 제거했으나 다른 사용자의 노출 앱은 해결하지 않음. 기본 접근 설정이 버그가 아닌 디자인 선택지라고 주장함.
Claroc은 추측하기 어려운 경로로 공유 앱을 서빙하고, 조직별 이메일 제한을 추가하며, 기본 접근 설정을 '나만'으로 변경할 것을 권장함.

핵심 내용