🇰🇷 한글 설명
Wire 웹 애플리케이션에서 @멘션 렌더링 시 불충분한 이스케이프 처리로 인해 임의의 HTML 및 자바스크립트가 실행될 수 있는 취약점입니다. 공격자가 악성 메시지를 보내면 피해자의 계정을 완전히 제어할 수 있으며, 취약한 웹 앱에 연결된 데스크톱 클라이언트도 영향을 받습니다.
💡 쉬운 설명
메시지에서 누군가를 태그할 때 발생하는 보안 허점을 이용해 해커가 나쁜 코드를 실행할 수 있는 문제입니다. 이 코드가 실행되면 해커가 사용자의 계정을 마음대로 조종할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Wire is a secure messaging application. Wire is vulnerable to arbitrary HTML and Javascript execution via insufficient escaping when rendering `@mentions` in the wire-webapp. If a user receives and views a malicious message, arbitrary code is injected and executed in the context of the victim allowing the attacker to fully control the user account. Wire-desktop clients that are connected to a vulnerable wire-webapp version are also vulnerable to this attack. The issue has been fixed in wire-webapp 2022-05-04-production.0 and is already deployed on all Wire managed services. On-premise instances of wire-webapp need to be updated to docker tag 2022-05-04-production.0-v0.29.7-0-a6f2ded or wire-server 2022-05-04 (chart/4.11.0) or later. No known workarounds exist.
📍 영향받는 시스템
wire-webapp 2022-05-04-production.0 미만 버전 및 해당 웹 앱에 연결된 Wire 데스크톱 클라이언트
⚔️ 공격 벡터
사용자가 악성 HTML/JS 코드가 포함된 @멘션 메시지를 수신하고 이를 확인하는 방식
🛡️ 대응 방법
wire-webapp을 2022-05-04-production.0 버전 이상으로 업데이트하거나, 온프레미스의 경우 지정된 Docker 태그 또는 Wire 서버 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 wire-webapp의 이미지 태그가 2022-05-04-production.0-v0.29.7-0-a6f2ded 또는 그 이후 버전인지 확인하십시오.
docker images | grep 'wire-webapp' | awk '{print $2, $3}'