🇰🇷 한글 설명
File Browser의 공유 링크 삭제 기능에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 사용자가 권한 확인 없이 다른 사용자의 공유 링크를 임의로 삭제할 수 있어 서비스 중단 및 데이터 협업 방해를 초래할 수 있습니다.
💡 쉬운 설명
파일 관리 프로그램에서 권한이 없는 사용자가 다른 사람이 만든 공유 링크를 마음대로 지울 수 있는 문제입니다. 이로 인해 중요한 파일 공유가 중단되거나 업무에 차질이 생길 수 있습니다.
🇺🇸 원문 (English)
File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. Versions prior to 2.45.1 have an Insecure Direct Object Reference (IDOR) vulnerability in the FileBrowser application's share deletion functionality. This vulnerability allows any authenticated user with share permissions to delete other users' shared links without authorization checks. The impact is significant as malicious actors can disrupt business operations by systematically removing shared files and links. This leads to denial of service for legitimate users, potential data loss in collaborative environments, and breach of data confidentiality agreements. In organizational settings, this could affect critical file sharing for projects, presentations, or document collaboration. Version 2.45.1 contains a fix for the issue.
📍 영향받는 시스템
File Browser 2.45.1 미만 버전
⚔️ 공격 벡터
인증된 사용자가 공유 삭제 요청 시 권한 검증이 누락된 점을 악용하여 타인의 공유 링크 ID를 직접 호출
🛡️ 대응 방법
File Browser를 최신 보안 패치가 적용된 2.45.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 2.45.1보다 낮으면 취약한 상태이며, 2.45.1 이상이면 안전합니다.
curl -s http://<target-ip>:<port>/api/version | grep -E '2.45.1'