🇰🇷 한글 설명
Nextcloud Deck에서 RTLO(Right-to-Left Override) 문자를 사용하여 파일 확장자를 위조할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 사용자가 실제 확장자와 다른 파일을 다운로드하도록 속일 수 있습니다. 이 문제는 1.12.7, 1.14.4, 1.15.1 버전에서 수정되었습니다.
💡 쉬운 설명
파일 이름의 글자 순서를 바꾸는 특수 문자를 이용해 파일의 진짜 종류를 숨길 수 있는 문제입니다. 예를 들어 실제로는 위험한 실행 파일인데 겉보기에는 안전한 이미지 파일처럼 보이게 만들 수 있습니다.
🇺🇸 원문 (English)
Nextcloud Deck is a kanban style organization tool aimed at personal planning and project organization for teams integrated with Nextcloud. Prior to 1.12.7, 1.14.4, and 1.15.1, file extension can be spoofed by using RTLO characters, tricking users into download files with a different extension than what is displayed. This vulnerability is fixed in 1.12.7, 1.14.4, and 1.15.1.
📍 영향받는 시스템
Nextcloud Deck versions prior to 1.12.7, 1.14.4, and 1.15.1
⚔️ 공격 벡터
RTLO 문자를 포함한 파일 이름을 사용하여 사용자가 잘못된 확장자의 파일을 다운로드하도록 유도
🛡️ 대응 방법
Nextcloud Deck을 1.12.7, 1.14.4 또는 1.15.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Deck 앱의 버전을 확인하여 취약한 버전(1.12.7, 1.14.4, 1.15.1 미만)인지 체크합니다.
php occ app:list | grep deck