🇰🇷 한글 설명
OwnTone Server 29.3 이하 버전의 src/mpd.c에 있는 mpd_sticker_find() 함수에 SQL 인젝션 취약점이 존재합니다. 인증되지 않은 원격 공격자가 URI 인자를 통해 SQL 구문을 주입할 수 있습니다. 공격자는 TCP 6600 포트의 MPD 리스너로 조작된 'sticker find song' 명령을 보내 경로 제한을 우회하고 파일 경로와 메타데이터를 포함한 모든 미디어 파일을 열거할 수 있습니다.
💡 쉬운 설명
인증 없이도 외부에서 특정 명령을 보내 서버 내부 데이터베이스를 조회할 수 있는 문제입니다. 이를 통해 음악 파일의 위치와 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
OwnTone Server through 29.3 contains an sql injection vulnerability in mpd_sticker_find() in src/mpd.c that allows unauthenticated remote attackers to inject SQL via the URI argument. Attackers can send a crafted 'sticker find song' command to the MPD listener on TCP port 6600 to bypass path restrictions and enumerate all media files with filesystem paths and metadata.
📍 영향받는 시스템
OwnTone Server 29.3 이하 버전 (MPD 리스너 TCP 6600 포트 활성화 환경)
⚔️ 공격 벡터
네트워크로 TCP 6600 포트에 접속해 조작된 'sticker find song' 명령을 전송하여 SQL 인젝션 수행
🛡️ 대응 방법
OwnTone Server를 29.3 초과 패치 버전으로 업데이트하거나, 6600 포트를 외부에서 접근 불가하도록 방화벽으로 차단
🔧 검증 코드
출력된 버전이 29.3 이하이면 취약하며, 29.3 초과 버전이면 패치가 적용된 것입니다.
owntone -V 2>/dev/null || dpkg -l owntone 2>/dev/null | grep owntone