🇰🇷 한글 설명
SFTPGo v2.6.1 미만 버전에서 비밀번호 재설정 기능이 활성화된 경우, 만료된 사용자 등 접근 제한이 있는 사용자도 비밀번호를 재설정하여 로그인할 수 있는 취약점이 존재합니다. 이 취약점을 악용하면 권한이 없는 사용자가 시스템에 접근할 수 있습니다.
💡 쉬운 설명
비밀번호를 바꿔서는 안 되는 차단된 사용자도 비밀번호 재설정 기능을 통해 다시 로그인할 수 있는 보안 허점입니다. 이로 인해 계정이 정지된 사람이 다시 접속할 위험이 있습니다.
🇺🇸 원문 (English)
SFTPGo is a full-featured and highly configurable SFTP, HTTP/S, FTP/S and WebDAV server - S3, Google Cloud Storage, Azure Blob. SFTPGo WebAdmin and WebClient support password reset. This feature is disabled in the default configuration.
In SFTPGo versions prior to v2.6.1, if the feature is enabled, even users with access restrictions (e.g. expired) can reset their password and log in. Users are advised to upgrade to version 2.6.1. Users unable to upgrade may keep the password reset feature disabled or set a blank email address for users and admins with access restrictions so they cannot receive the email with the reset code and exploit the vulnerability.
📍 영향받는 시스템
SFTPGo versions prior to v2.6.1 (비밀번호 재설정 기능 활성화 시)
⚔️ 공격 벡터
접근 제한이 있는 계정으로 비밀번호 재설정 기능을 요청하여 인증을 우회함
🛡️ 대응 방법
SFTPGo를 v2.6.1 이상 버전으로 업그레이드하거나, 비밀번호 재설정 기능을 비활성화하십시오.
🔧 검증 코드
출력된 버전이 v2.6.1 미만인 경우 해당 취약점에 노출된 상태입니다.
sftpgo --version 2>/dev/null | grep -E 'v2\.[0-6]\.'