🇰🇷 한글 설명
Tugtainer는 도커 컨테이너 자동 업데이트 기능을 제공하는 자체 호스팅 애플리케이션입니다. 1.16.1 버전 이전에서는 비밀번호 인증 메커니즘이 URL 쿼리 매개변수를 통해 비밀번호를 전송하여 서버 액세스 로그와 브라우저 기록, Referer 헤더, 프록시 로그를 통해 노출될 수 있습니다.
💡 쉬운 설명
Tugtainer 애플리케이션의 비밀번호 인증 메커니즘이 안전하지 않아 비밀번호가 노출될 수 있습니다. 이는 서버 로그와 브라우저 기록 등에서 비밀번호가 확인될 수 있습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Tugtainer is a self-hosted app for automating updates of Docker containers. In versions prior to 1.16.1, the password authentication mechanism transmits passwords via URL query parameters instead of the HTTP request body. This causes passwords to be logged in server access logs and potentially exposed through browser history, Referer headers, and proxy logs. Version 1.16.1 patches the issue.
📍 영향받는 시스템
Tugtainer 1.16.1 버전 이전
⚔️ 공격 벡터
URL 쿼리 매개변수를 통해 비밀번호가 전송되므로 공격자가 서버 로그나 브라우저 기록을 접근할 수 있다면 비밀번호를 탈취할 수 있습니다.
🛡️ 대응 방법
Tugtainer를 1.16.1 버전 이상으로 업데이트합니다.
🔧 검증 코드
로컬 머신에서 Python을 설치하고, Tugtainer 서버의 버전 정보를 확인하는 코드입니다. Tugtainer 서버의 URL을 'https://your-tugtainer-server.com/version'으로 변경하고, 코드를 실행하여 결과를 확인합니다.
import requests
response = requests.get('https://your-tugtainer-server.com/version')
if response.status_code == 200 and response.text < '1.16.1':
print({"result": "취약", "reason": "Tugtainer 버전이 1.16.1 미만"})
else:
print({"result": "양호", "reason": "Tugtainer 버전이 1.16.1 이상"})