🇰🇷 한글 설명
Telegram-Stremio 5.1.0 이하 버전에서 보안이 취약한 저장소 취약점이 발견되었습니다. 공격자가 MongoDB 데이터베이스, 백업 또는 로그에 접근할 수 있다면, 암호화되지 않고 단순 인코딩만 된 텔레그램 세션 문자열을 복구할 수 있습니다. 이를 통해 공격자는 2단계 인증이 설정되어 있더라도 운영자의 텔레그램 계정을 완전히 제어할 수 있습니다.
💡 쉬운 설명
텔레그램 로그인 정보가 암호화되지 않고 단순한 방식으로 저장되어 있어, 데이터베이스에 접근할 수 있는 해커가 계정을 통째로 뺏을 수 있는 문제입니다. 비밀번호나 2단계 인증을 거치지 않고도 로그인된 상태를 그대로 복사해 사용할 수 있습니다.
🇺🇸 원문 (English)
Telegram-Stremio through 5.1.0 contains an insecure storage vulnerability that allows attackers with access to the MongoDB database, backups, or logs to recover the operator's authenticated Telegram session string, which is protected only by a keyless, reversible encoding transform rather than actual encryption. Attackers can round-trip the stored value through the repository's own decode_string function with no secret key to obtain a fully authenticated Telegram session, granting complete control of the operator's Telegram account even when two-step verification is enabled.
📍 영향받는 시스템
Telegram-Stremio 5.1.0 이하 모든 버전
⚔️ 공격 벡터
데이터베이스, 백업 파일 또는 로그 파일에 접근하여 인코딩된 세션 문자열을 탈취한 후 디코딩
🛡️ 대응 방법
최신 보안 패치가 적용된 버전으로 업데이트하고, 데이터베이스 및 로그 파일에 대한 접근 권한을 엄격히 제한하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 시스템은 공격에 노출될 수 있습니다.
grep -r "Telegram-Stremio" /path/to/logs/or/db 2>/dev/null | grep -E 'version:[0-5]\.[0-1]\.[0-9]'