FINDING / FND-004
감사 로그 전달 지연을 수용했습니다
공격 증거와 동일 시나리오의 재검증을 결속합니다.
MediumACCEPTED RISKAUDIT-ALERT-001 · audit_pipeline출고 상태: HOLD 유지 중 · 이 Finding은 직접 원인 아님 · 예시
What happened
합성 사용자 A가 다른 Workspace에 속한 예시 리소스에 접근한 시나리오입니다. 서버에서 사용자와 Workspace 결속을 검증해야 합니다.
Attack scenario
합성 사용자 A · 격리된 Sandbox 환경 · 예시
- 01 · 정상 사용자 접근 → 성공해야 함
- 02 · 다른 Workspace 접근 → 차단되어야 함
- 03 · 실제 예시 결과 → 접근 성공
- 04 · 판정 → 권한 경계 실패
Evidence EV-001 · 예시
// 합성 테스트 증거 · 예시 · UI CONCEPT Actor: test_user_a Target: synthetic_workspace_b Expected: 403 Forbidden Actual (예시 응답): 200 OK Commit: a8f29c1 Deployment: dpl_orbit_082 Evidence hash: mock_e71a...902f
Why it matters
다른 고객의 데이터가 보이는 권한 경계 실패는 출고 판단을 HOLD로 만듭니다. 실제 고객 데이터는 테스트 대상으로 사용하지 않습니다.
Fix strategy & retest plan
서버 세션에서 신뢰할 수 있는 Workspace ID를 결속하고 정책을 검토합니다. 격리 환경에서 정상 접근 Positive Test와 다른 Workspace 접근 Negative Test를 함께 재실행합니다.
Finding context
AI 코딩툴용 지시문 복사
다음 단계
Mark False Positive · Accept Risk는 보조 작업입니다 · 예시