🇰🇷 한글 설명
Pterodactyl 게임 서버 관리 패널 1.11.11 이하 버전에서 발생하는 취약점입니다. 사용자의 SFTP 권한이 삭제되거나 변경되어도 이미 연결된 SFTP 세션이 해제되지 않아 파일에 계속 접근할 수 있습니다. 이 문제는 버전 1.12.0에서 수정되었습니다.
💡 쉬운 설명
사용자의 파일 접근 권한을 뺏어도, 이미 접속 중인 상태라면 연결이 끊기지 않고 계속 파일을 볼 수 있는 문제입니다. 권한을 뺏기 전에 미리 접속해 있는 사용자에게 해당됩니다.
🇺🇸 원문 (English)
Pterodactyl is a free, open-source game server management panel. Versions 1.11.11 and below do not revoke active SFTP connections when a user is removed from a server instance or has their permissions changes with respect to file access over SFTP. This allows a user that was already connected to SFTP to remain connected and access files even after their permissions are revoked. A user must have been connected to SFTP at the time of their permissions being revoked in order for this vulnerability to be exploited. This issue is fixed in version 1.12.0.
📍 영향받는 시스템
Pterodactyl version 1.11.11 and below
⚔️ 공격 벡터
권한이 삭제되기 전에 미리 SFTP 세션을 연결하여 유지하는 방식
🛡️ 대응 방법
Pterodactyl을 버전 1.12.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.12.0 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s https://api.pterodactyl.gg/version | grep -E '1\.[0-1]\.[0-9]{1,2}'