🇰🇷 한글 설명
Immich 3.2.0 이전 버전의 공유 링크 생성 API는 albumId와 assetIds를 독립적으로 검증하여, 인증된 공격자가 자신의 앨범 공유 링크에 피해자 소유 자산 UUID를 포함시킬 수 있습니다. 이로 인해 피해자의 사진 원본과 메타데이터가 익명 공유 링크를 통해 노출됩니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람 사진의 고유 ID를 알고 있으면, 자신의 공유 링크에 그 사진을 몰래 넣어 외부에 공개할 수 있습니다. 한번 만들어진 공유 링크는 계속 유지되어 다시 퍼질 수 있습니다.
🇺🇸 원문 (English)
Immich is a high-performance self-hosted photo and video management solution. Prior to 3.2.0, the shared-link creation API accepted albumId and assetIds as independent fields in server/src/services/shared-link.service.ts but authorized only the resource selected by the requested link type. An authenticated attacker who already knew a victim-owned asset UUID could select SharedLinkType.Album for an attacker-owned album while supplying that UUID in assetIds; SharedLinkService.create() persisted the unchecked association in shared_link_asset and made the victim asset available through the new anonymous shared-link credential. This exposed victim metadata, thumbnails, and the byte-identical original file and created a persistent sharing relationship that could be redistributed. This issue is fixed in version 3.2.0.
📍 영향받는 시스템
Immich 3.2.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 공유 링크 생성 시 albumId는 자신의 앨범으로, assetIds에는 피해자 자산 UUID를 지정하여 피해자 파일에 익명 접근 권한을 부여
🛡️ 대응 방법
Immich를 3.2.0 이상으로 업그레이드
🔧 검증 코드
출력된 version 값이 3.2.0 미만이면 취약하므로 3.2.0 이상으로 업데이트가 필요하며, 3.2.0 이상이면 패치가 적용된 상태입니다.
docker exec immich_server cat /usr/src/app/package.json 2>/dev/null | grep '"version"'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server