🇰🇷 한글 설명
Immich는 자체 호스팅 사진·동영상 관리 솔루션입니다. 3.0.0 이전 버전에서는 withPartners=true 조회 시 파트너 소유자 식별자는 추가되지만, isArchived=true인 경우 Archive 가시성 필터가 모든 소유자에게 적용되지 않아 보기 전용 파트너가 공유자의 보관된 사진·동영상의 GPS 좌표와 존재 여부를 열거할 수 있습니다. 이미지 원본은 checkPartnerAccess로 보호됩니다.
💡 쉬운 설명
같이 사진을 보는 친구가 공유자의 보관함에 있는 사진의 위치 정보와 존재 여부를 알아낼 수 있는 문제입니다. 사진 원본 자체는 여전히 보호됩니다.
🇺🇸 원문 (English)
Immich is a high-performance self-hosted photo and video management solution. Prior to 3.0.0, GET /api/map/markers used server/src/services/map.service.ts to add partner owner identifiers when withPartners=true, while server/src/repositories/map.repository.ts applied Archive visibility to every selected owner when isArchived=true. A view-only partner could therefore enumerate the GPS coordinates and existence of a sharer's archived photos or videos even though the timeline and direct-access paths exclude archived partner assets. The exposure is limited to location metadata and asset identifiers because image bytes remain protected by checkPartnerAccess. This issue is fixed in version 3.0.0.
📍 영향받는 시스템
Immich 3.0.0 미만 버전 (Immich 서버, map API /api/map/markers)
⚔️ 공격 벡터
보기 전용 파트너 권한을 가진 인증 사용자가 /api/map/markers?withPartners=true&isArchived=true 요청으로 파트너의 보관된 자산 ID와 GPS 좌표를 열거
🛡️ 대응 방법
Immich를 3.0.0 이상으로 업그레이드하고, 필요 시 파트너 공유 권한을 재검토
🔧 검증 코드
출력된 이미지 태그 또는 JSON 버전 값이 3.0.0 미만이면 취약하며, 3.0.0 이상이면 패치가 적용된 것입니다.
docker inspect --format='{{.Config.Image}}' immich_server 2>/dev/null || curl -s http://localhost:2283/api/server/version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server