🇰🇷 한글 설명
FileBrowser Quantum은 자체 호스팅 가능한 웹 기반 파일 관리자입니다. 1.5.2-stable 및 2.0.1-beta 이전 버전에서는 심볼릭 링크를 해석할 때 대상 경로가 소스 루트 및 사용자 허용 범위 안에 있는지 검증하지 않아, 허용되지 않은 서버 파일을 읽을 수 있습니다. 이 문제는 1.5.2-stable 및 2.0.1-beta에서 수정되었습니다.
💡 쉬운 설명
파일 관리 프로그램이 바로가기 링크를 따라갈 때 허용된 폴더 밖의 파일도 열어줄 수 있는 결함입니다. 인증된 사용자나 공유 링크를 가진 사람이 서버의 다른 파일을 볼 수 있습니다.
🇺🇸 원문 (English)
FileBrowser Quantum is a free, self-hosted, web-based file manager. Prior to 1.5.2-stable and 2.0.1-beta, file read handling in backend/pkg/indexing/indexingFiles.go resolves symbolic links through GetRealPath without confirming that the resolved target remains inside the source root and the user's authorized scope. Download, preview, media, OnlyOffice, and public-share read flows that enable FollowSymlinks can therefore serve an out-of-scope target through a reachable in-scope symlink. An authenticated user with download access can read server-accessible files outside the assigned scope, and a holder of a public share link can do the same without an account when the shared directory exposes such a symlink. This issue is fixed in 1.5.2-stable and 2.0.1-beta.
📍 영향받는 시스템
FileBrowser Quantum 1.5.2-stable 이전 버전 및 2.0.1-beta 이전 버전 (심볼릭 링크 따라가기 기능 활성화 시)
⚔️ 공격 벡터
접근 가능한 폴더에 악성 심볼릭 링크를 만들어 서버의 허용 범위 밖 파일을 다운로드, 미리보기 또는 공유 링크를 통해 읽는 방식
🛡️ 대응 방법
FileBrowser Quantum을 1.5.2-stable 또는 2.0.1-beta 이상으로 업데이트하고, 필요 없다면 FollowSymlinks 설정을 비활성화하십시오.
🔧 검증 코드
출력된 버전이 1.5.2-stable 또는 2.0.1-beta 미만이면 취약하며, 이상이면 패치가 적용된 것입니다.
docker exec filebrowser filebrowser version 2>/dev/null || filebrowser version 2>/dev/null