🇰🇷 한글 설명
Docker-Proxy 5.1.9 이하 버전의 hubcmdui routes/config.js에 인증 누락 취약점이 존재합니다. 인증되지 않은 공격자가 /api/config 경로를 통해 설정을 조회하고 덮어쓸 수 있으며, 이를 통해 WeChat 웹훅 URL과 Telegram 봇 토큰이 노출되고 모니터링 알림 수신처가 변경될 수 있습니다.
💡 쉬운 설명
인증 없이 누구나 서비스의 설정 페이지에 접근할 수 있는 결함입니다. 공격자는 알림 메시지를 받는 주소와 메신저 토큰을 빼내거나 바꿔서 경고를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Docker-Proxy through 5.1.9 contains a missing authentication vulnerability in the hubcmdui routes/config.js that allows unauthenticated attackers to read and overwrite configuration via /api/config. Attackers can retrieve the WeChat webhook URL and Telegram bot token, and overwrite menuItems links, proxyDomain, and the monitoring webhook destination receiving alerts.
📍 영향받는 시스템
Docker-Proxy 5.1.9 이하 버전 (hubcmdui 구성요소 포함)
⚔️ 공격 벡터
인증 없이 /api/config 엔드포인트에 GET/POST 요청을 보내 설정 값 조회 및 변경
🛡️ 대응 방법
Docker-Proxy를 5.1.9 초과 최신 버전으로 업그레이드하고, /api/config 경로에 인증 미들웨어를 적용하며, 노출된 토큰과 웹훅 URL을 즉시 재발급
🔧 검증 코드
출력된 버전이 5.1.9 이하이면 취약하므로 업그레이드가 필요하며, 명령 결과가 없으면 해당 컴포넌트가 설치되지 않은 것입니다.
docker images 2>/dev/null | grep -i docker-proxy; cat /app/package.json 2>/dev/null | grep -i version