🇰🇷 한글 설명
Coolify v4.0.0-beta.434 버전부터 /login 엔드포인트에 적용된 5회 로그인 제한 기능이 X-Forwarded-For 헤더를 변경하는 방식으로 쉽게 우회될 수 있습니다. 이 취약점을 통해 공격자는 사용자 및 관리자 계정을 대상으로 무제한의 자격 증명 스터핑 및 무차별 대입 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그인을 여러 번 실패하면 차단되는 기능이 있는데, 공격자가 자신의 IP 주소를 속이는 방식으로 이 차단을 무력화할 수 있습니다. 이를 통해 해커가 비밀번호를 계속해서 무작위로 입력하며 계정을 탈취하려는 시도를 막기 어렵습니다.
🇺🇸 원문 (English)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. In Coolify vstarting with version 4.0.0-beta.434, the /login endpoint advertises a rate limit of 5 requests but can be trivially bypassed by rotating the X-Forwarded-For header. This enables unlimited credential stuffing and brute-force attempts against user and admin accounts. As of time of publication, it is unclear if a patch is available.
📍 영향받는 시스템
Coolify v4.0.0-beta.434 이상 버전
⚔️ 공격 벡터
X-Forwarded-For HTTP 헤더 값을 계속 변경하여 속임수 IP를 생성함으로써 속도 제한(Rate Limit)을 우회함
🛡️ 대응 방법
공격자가 헤더를 조작하더라도 실제 클라이언트 IP를 식별할 수 있도록 보안 설정을 강화하거나, 패치가 출시될 때까지 로그인 시도 제한 로직을 업데이트해야 함
🔧 검증 코드
헤더의 IP 값을 변경하며 반복 요청했을 때 429 Too Many Requests 응답이 오지 않고 계속 성공한다면 취약한 상태임
curl -I -H 'X-Forwarded-For: 1.2.3.4' http://<target-ip>/login
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server