🇰🇷 한글 설명
Netmaker 0.17.1 이전 및 0.18.6 이전 버전에서 하드코딩된 DNS 키가 원인이 되어 인증되지 않은 사용자가 DNS API 엔드포인트에 접근할 수 있는 취약점입니다. 공격자는 이를 이용해 네트워크의 DNS 설정을 조작할 수 있습니다. 0.17.1 또는 0.18.6 이상으로 업그레이드하여 해결해야 합니다.
💡 쉬운 설명
Netmaker 소프트웨어의 보안 비밀번호가 고정되어 있어서 권한 없는 사람도 DNS 설정을 변경할 수 있습니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Netmaker makes networks with WireGuard. Prior to versions 0.17.1 and 0.18.6, hardcoded DNS key usage has been found in Netmaker allowing unauth users to interact with DNS API endpoints. The issue is patched in 0.17.1 and fixed in 0.18.6. If users are using 0.17.1, they should run `docker pull gravitl/netmaker:v0.17.1` and `docker-compose up -d`. This will switch them to the patched users. If users are using v0.18.0-0.18.5, they should upgrade to v0.18.6 or later. As a workaround, someone who is using version 0.17.1 can pull the latest docker image of the backend and restart the server.
📍 영향받는 시스템
Netmaker v0.17.0 이하, v0.18.0~v0.18.5
⚔️ 공격 벡터
하드코딩된 DNS API 키를 이용한 미인증 API 호출로 DNS 설정 변조
🛡️ 대응 방법
Netmaker을 v0.17.1 이상 또는 v0.18.6 이상으로 업그레이드 수행
🔧 검증 코드
명령어가 버전 정보를 반환하면 패치된 버전이 설치되어 있고, 아무것도 반환되지 않으면 업그레이드가 필요합니다.
docker image inspect gravitl/netmaker:latest 2>/dev/null | grep -E 'v0\.(17\.[1-9]|18\.[6-9]|[2-9])'