🇰🇷 한글 설명
Matrix 메시징 플랫폼의 Hookshot 봇에서 GitHub 통합 시 발생하는 서비스 거부(DoS) 취약점입니다. 버전 6.0.1 이하 또는 5.4.1 이하에서는 특정 조건에서 봇이 재시작 중에 충돌할 수 있습니다. 신뢰할 수 없는 사용자가 GitHub 조직을 추가하여 의도적으로 이 취약점을 트리거할 수 있습니다.
💡 쉬운 설명
Matrix 채팅 서비스에서 GitHub를 연결하는 봇이 특정 설정에서 갑자기 멈출 수 있습니다. 악의적인 사용자가 이를 의도적으로 일으켜 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
matrix-hookshot is a Matrix bot for connecting to external services like GitHub, GitLab, JIRA, and more. When Hookshot 6 version 6.0.1 or below, or Hookshot 5 version 5.4.1 or below, is configured with GitHub support, it is vulnerable to a Denial of Service (DoS) whereby it can crash on restart due to a missing check. The impact is greater to you untrusted users can add their own GitHub organizations to Hookshot in order to connect their room to a repository. This vulnerability is fixed in 6.0.2 and 5.4.2.
📍 영향받는 시스템
matrix-hookshot v6.0.1 이하, v5.4.1 이하 (GitHub 지원 구성된 경우)
⚔️ 공격 벡터
신뢰할 수 없는 사용자가 GitHub 조직을 추가하여 봇 재시작 시 충돌 유발
🛡️ 대응 방법
Hookshot을 v6.0.2 이상 또는 v5.4.2 이상으로 업그레이드
🔧 검증 코드
버전 번호가 6.0.2 이상(v6 사용 시) 또는 5.4.2 이상(v5 사용 시)인지 확인
docker exec matrix-hookshot npm list matrix-hookshot 2>/dev/null | grep matrix-hookshot || cat /opt/hookshot/package.json | grep -A1 '"version"'