🇰🇷 한글 설명
Galaxy 22.01 및 22.05 버전에서 Gunicorn 전환으로 인해 임의 파일 읽기 취약점이 발생합니다. 이 취약점을 통해 Galaxy가 실행 중인 운영체제 사용자가 접근 가능한 모든 파일을 읽을 수 있습니다. 해당 문제는 커밋 e5e6bda4f에서 패치되었으며, Nginx나 Apache를 사용하여 정적 콘텐츠를 서비스할 경우 완화될 수 있습니다.
💡 쉬운 설명
해커가 Galaxy 시스템에 저장된 중요한 파일을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 시스템 설정이 잘못되어 있으면 서버 내부의 민감한 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Galaxy is an open-source platform for data analysis. An arbitrary file read exists in Galaxy 22.01 and Galaxy 22.05 due to the switch to Gunicorn, which can be used to read any file accessible to the operating system user under which Galaxy is running. This vulnerability affects Galaxy 22.01 and higher, after the switch to gunicorn, which serve static contents directly. Additionally, the vulnerability is mitigated when using Nginx or Apache to serve /static/* contents, instead of Galaxy's internal middleware. This issue has been patched in commit `e5e6bda4f` and will be included in future releases. Users are advised to manually patch their installations. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Galaxy 22.01 및 22.05 버전 (Gunicorn 사용 버전)
⚔️ 공격 벡터
Gunicorn이 정적 콘텐츠를 직접 서비스하는 과정에서 발생하는 임의 파일 읽기 공격
🛡️ 대응 방법
커밋 e5e6bda4f를 적용하여 패치하거나, Nginx 또는 Apache를 사용하여 /static/* 콘텐츠를 서비스하도록 설정 변경
🔧 검증 코드
명령어 결과에 22.01 또는 22.05 버전이 출력되면 해당 취약점에 노출된 상태입니다.
galaxy --version 2>/dev/null | grep -E '22.01|22.05'