🇰🇷 한글 설명
Ruby 프로세스와 웹 클라이언트를 위한 메시징 버스인 message_bus의 3.3.7 미만 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 진단 기능이 활성화된 경우 공격자가 의도하지 않은 경로를 통해 시스템의 비밀 정보를 탈취할 수 있습니다. 프록시 설정 여부에 따라 노출 범위가 달라질 수 있으며, 3.3.7 버전에서 패치되었습니다.
💡 쉬운 설명
웹 서비스의 진단 기능이 켜져 있을 때, 공격자가 파일 경로를 조작하여 서버 내부의 중요한 비밀 파일을 몰래 읽을 수 있는 문제입니다. 이 취약점을 이용하면 서버의 설정 파일이나 비밀번호 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
message_bus is a messaging bus for Ruby processes and web clients. In versions prior to 3.3.7 users who deployed message bus with diagnostics features enabled (default off) are vulnerable to a path traversal bug, which could lead to disclosure of secret information on a machine if an unintended user were to gain access to the diagnostic route. The impact is also greater if there is no proxy for your web application as the number of steps up the directories is not bounded. For deployments which uses a proxy, the impact varies. For example, If a request goes through a proxy like Nginx with `merge_slashes` enabled, the number of steps up the directories that can be read is limited to 3 levels. This issue has been patched in version 3.3.7. Users unable to upgrade should ensure that MessageBus::Diagnostics is disabled.
📍 영향받는 시스템
message_bus versions prior to 3.3.7 (with diagnostics enabled)
⚔️ 공격 벡터
진단 경로(diagnostic route)를 통한 경로 탐색(Path Traversal) 공격
🛡️ 대응 방법
message_bus를 3.3.7 버전 이상으로 업그레이드하거나, 업그레이드가 불가능할 경우 MessageBus::Diagnostics 기능을 비활성화하십시오.
🔧 검증 코드
출력된 결과에서 message_bus의 버전이 3.3.7 미만인지 확인하십시오.