🇰🇷 한글 설명
GPT-Load 1.4.11 버전에서 Gin Logger 미들웨어가 인증 키를 제거하기 전의 원본 쿼리 문자열을 기록하여 클라이언트 프록시 키가 평문으로 노출되는 취약점이 발견되었습니다. 공격자가 콘솔 로그나 ./data/logs/app.log 파일에 대한 읽기 권한을 가질 경우, Gemini 스타일의 요청에서 프록시 키를 탈취하여 해당 그룹을 공격할 수 있습니다.
💡 쉬운 설명
프로그램이 작동 기록을 남기는 과정에서 중요한 비밀번호(프록시 키)를 암호화하지 않고 그대로 저장하는 문제입니다. 로그 파일을 볼 수 있는 사람이 있다면 이 비밀번호를 훔쳐서 시스템을 악용할 수 있습니다.
🇺🇸 원문 (English)
GPT-Load through 1.4.11 contains a cleartext logging vulnerability that exposes client proxy keys because the Gin Logger middleware records the raw query string before extractAuthKey strips the key parameter. Attackers with read access to console logs or ./data/logs/app.log can recover proxy keys from Gemini-style requests and use them against the corresponding group.
📍 영향받는 시스템
GPT-Load 1.4.11 이하 버전
⚔️ 공격 벡터
로그 파일(./data/logs/app.log) 또는 콘솔 로그에 대한 읽기 권한을 이용한 키 탈취
🛡️ 대응 방법
GPT-Load를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 로그에 민감 정보가 남지 않도록 미들웨어 설정을 수정해야 합니다.
🔧 검증 코드
명령어 실행 결과로 인증 키와 유사한 문자열이 로그 파일에서 출력된다면 취약한 상태입니다.
grep -E 'proxy_key|auth_key' ./data/logs/app.log