🇰🇷 한글 설명
Hugo v0.161.0부터 v0.165.0 버전에서 Node.js 권한 모델의 심볼릭 링크 처리 취약점이 발견되었습니다. 공격자가 프로젝트에 심볼릭 링크를 포함한 Pull Request를 제출할 경우, Hugo 빌드 프로세스가 허용되지 않은 시스템 파일(예: /etc/passwd)을 읽어 웹사이트에 노출시킬 수 있습니다.
💡 쉬운 설명
해커가 가짜 연결 통로(심볼릭 링크)를 만들어 웹사이트 빌드 도구가 컴퓨터 내부의 중요한 비밀 파일을 몰래 읽어가도록 유도할 수 있는 문제입니다. 이로 인해 서버의 민감한 정보가 웹사이트를 통해 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Hugo versions from v0.161.0 through v0.165.0 run Node.js tools (css.PostCSS, css.TailwindCSS, js.Babel) under the Node.js permission model to restrict file system reads to the project directory and configured mounts. Because the Node.js permission model validates only the lexical path and follows symbolic links that point outside the allowed set, Hugo did not detect symlinks escaping the sandbox. An attacker who can contribute content to a Hugo project (for example via a pull request) can commit a symlink such as assets/css/x.css -> /etc/passwd together with a PostCSS plugin that reads it, allowing any file readable by the Hugo build process to be disclosed and potentially embedded in the published site. This affects builds using the default security configuration; projects that do not invoke Node.js tools are unaffected. Fixed in v0.166.0, which scans allowed paths and fails the build when a symbolic link resolves outside them.
📍 영향받는 시스템
Hugo versions v0.161.0 through v0.165.0 (Node.js 도구 사용 시)
⚔️ 공격 벡터
악의적인 심볼릭 링크가 포함된 콘텐츠를 프로젝트에 제출하여 빌드 프로세스를 통한 파일 유출 유도
🛡️ 대응 방법
Hugo를 v0.166.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 v0.161.0에서 v0.165.0 사이의 버전이 출력되면 취약한 상태입니다.
hugo version | grep -E 'v0\[0-1]6[1-5]\.'