🇰🇷 한글 설명
wire-server의 특정 버전에서 GET /users/list-clients 엔드포인트를 통해 모든 사용자의 클라이언트 메타데이터가 노출되는 취약점이 발견되었습니다. 로그인한 사용자라면 다른 사용자의 ID를 알고 있을 경우 해당 사용자의 접속 위치, 시간, 쿠키 등의 민감한 정보를 조회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 접속 시간이나 위치 같은 개인 정보를 몰래 훔쳐볼 수 있는 보안 구멍이 있었습니다. 이로 인해 사용자의 활동 기록이 외부에 노출될 위험이 있습니다.
🇺🇸 원문 (English)
wire-server is an open-source back end for Wire, a secure collaboration platform. In wire-server from version 2021-02-16 and before version 2021-03-02, the client metadata of all users was exposed in the `GET /users/list-clients` endpoint. The endpoint could be used by any logged in user who could request client details of any other user (no connection required) as far as they can find their User ID. The exposed metadata included id, class, type, location, time, and cookie. A user on a Wire backend could use this endpoint to find registration time and location for each device for a given list of users. As a workaround, remove `/list-clients` from nginx config. This has been fixed in version 2021-03-02.
📍 영향받는 시스템
wire-server version 2021-02-16 and before version 2021-03-02
⚔️ 공격 벡터
로그인된 사용자가 다른 사용자의 User ID를 이용해 GET /users/list-clients 엔드포인트에 요청을 보내는 방식
🛡️ 대응 방법
wire-server를 2021-03-02 버전 이상으로 업데이트하거나, nginx 설정에서 /list-clients 경로를 차단하십시오.
🔧 검증 코드
응답 결과에서 200 OK가 반환되면 취약한 상태이며, 403 Forbidden 또는 404 Not Found가 반환되면 조치된 상태입니다.
curl -I -X GET http://<target-ip>/users/list-clients