🇰🇷 한글 설명
Wire 웹 애플리케이션의 특정 마크다운 형식이 HTML로 변환될 때 예외 처리가 제대로 이루어지지 않는 취약점입니다. 이로 인해 특정 채팅 내역을 표시할 수 없는 오류가 발생하며, 해당 메시지가 포함된 대화 기록을 불러올 때 지속적으로 문제가 발생합니다.
💡 쉬운 설명
채팅창에 특수한 글자 형식을 사용하면 웹 화면이 오류를 일으켜 대화 내용을 볼 수 없게 만드는 문제입니다. 공격자가 이 형식을 보내면 사용자는 해당 채팅방의 내용을 읽지 못하게 됩니다.
🇺🇸 원문 (English)
Wire web-app is part of Wire communications. Versions prior to 2022-11-02 are subject to Improper Handling of Exceptional Conditions. In the wire-webapp, certain combinations of Markdown formatting can trigger an unhandled error in the conversion to HTML representation. The error makes it impossible to display the affected chat history, other conversations are not affected. The issue has been fixed in version 2022-11-02 and is already deployed on all Wire managed services. On-premise instances of wire-webapp need to be updated to docker tag 2022-11-02-production.0-v0.31.9-0-337e400 or wire-server 2022-11-03 (chart/4.26.0), so that their applications are no longer affected. As a workaround, you may use an iOS or Android client and delete the corresponding message from the history OR write 30 or more messages into the affected conversation to prevent the client from further rendering of the corresponding message. When attempting to retrieve messages from the conversation history, the error will continue to occur once the malformed message is part of the result.
📍 영향받는 시스템
Wire web-app (2022-11-02 이전 버전)
⚔️ 공격 벡터
특수한 마크다운 형식이 포함된 메시지를 전송하여 웹 애플리케이션의 HTML 변환 프로세스에서 오류 유도
🛡️ 대응 방법
wire-webapp을 docker tag 2022-11-02-production.0-v0.31.9-0-337e400 이상으로 업데이트하거나 wire-server 2022-11-03 이상으로 업데이트
🔧 검증 코드
명령어 결과에 패치된 버전 태그가 포함되어 있으면 취약점이 해결된 상태입니다.
docker images | grep 'wire-webapp' | grep -E '2022-11-02-production.0-v0.31.9-0-337e400|v0.31.9'