🇰🇷 한글 설명
Traccar 5.1부터 6.15.0 이전 버전에서 WebModule.java의 MediaFilter 매핑과 WebServer.java의 Jetty ResourceServlet이 /api/media/* 경로 매개변수를 서로 다르게 해석합니다. 인증되지 않은 공격자가 장치 고유 ID와 미디어 파일명을 알고 있다면, 세미콜론을 삽입해 MediaFilter의 세션 및 장치 권한 검사를 우회하고 보호된 미디어 파일을 읽을 수 있습니다. 영향은 읽기 전용 정보 노출에 한정되며, 6.15.0 버전에서 수정되었습니다.
💡 쉬운 설명
Traccar는 GPS 장치를 추적하는 오픈소스 시스템입니다. 공격자가 특정 URL 형식을 조작해 로그인 없이 장치가 업로드한 사진이나 영상 같은 보호된 파일을 볼 수 있는 문제입니다.
🇺🇸 원문 (English)
Traccar is an open source GPS tracking system. From 5.1 until 6.15.0, WebModule.java's MediaFilter Guice mapping and WebServer.java's Jetty ResourceServlet assign different routing meanings to path parameters at /api/media/*. An unauthenticated attacker who knows or guesses a device unique ID and media filename can insert a semicolon at the Servlet boundary, bypass MediaFilter's session and device authorization checks, and retrieve the protected media because Jetty still dispatches the noncanonical path to ResourceServlet. The demonstrated impact is read-only disclosure of a protected device media file; depending on the deployment and stored media, this could expose photographs, audio, video, or other uploaded files. The advisory does not establish directory listing, traversal, modification, account takeover, denial of service, or code execution. Reverse proxies that reject or rewrite semicolon path parameters may block the request. This issue is fixed in version 6.15.0.
📍 영향받는 시스템
Traccar 5.1 이상 6.15.0 미만 버전
⚔️ 공격 벡터
URL 경로의 /api/media/ 뒤에 세미콜론(;)을 삽입해 인증 필터를 우회하고 장치 ID와 파일명을 알면 미디어 파일을 요청
🛡️ 대응 방법
Traccar를 6.15.0 이상으로 업그레이드하고, 필요 시 리버스 프록시에서 세미콜론이 포함된 경로 요청을 차단
🔧 검증 코드
출력된 버전이 6.15.0 미만이면 취약하며, 6.15.0 이상이면 이 취약점이 수정된 상태입니다.
java -jar tracker-server.jar --version 2>/dev/null || grep -i '<version>' /opt/traccar/conf/traccar.xml 2>/dev/null