🇰🇷 한글 설명
Crafatar 서비스에서 lib/public/ 디렉토리 외부의 파일에 접근할 수 있는 경로 탐색 취약점이 발견되었습니다. Docker 컨테이너를 사용하는 인스턴스는 컨테이너 내부의 파일이 노출될 위험이 있습니다. 이 취약점은 버전 2.1.5에서 패치되었습니다.
💡 쉬운 설명
웹 서버의 허용된 폴더가 아닌 다른 중요한 파일들을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 다행히 Docker를 사용하는 경우 컨테이너 안의 파일만 볼 수 있어 피해가 제한적일 수 있습니다.
🇺🇸 원문 (English)
Crafatar serves Minecraft avatars based on the skin for use in external applications. Files outside of the `lib/public/` directory can be requested from the server. Instances running behind Cloudflare (including crafatar.com) are not affected. Instances using the Docker container as shown in the README are affected, but only files within the container can be read. By default, all of the files within the container can also be found in this repository and are not confidential. This vulnerability is patched in 2.1.5.
📍 영향받는 시스템
Crafatar 2.1.5 미만 버전 (Docker 컨테이너 사용 환경)
⚔️ 공격 벡터
경로 탐색(Path Traversal)을 통한 서버 내 임의 파일 접근
🛡️ 대응 방법
Crafatar를 최신 버전인 2.1.5 이상으로 업데이트하십시오.
🔧 검증 코드
경로 탐색 공격 페이로드를 전송했을 때, 외부 파일 내용이 출력되지 않고 에러가 발생하면 안전합니다.
curl -s http://<target-ip>/<path-traversal-payload> | grep -i 'error'