🇰🇷 한글 설명
Arcane 1.13.2 미만 버전에서 인증되지 않은 사용자가 원격 환경 에이전트로 요청을 프록시하여 원격 리소스에 접근할 수 있는 취약점이 발견되었습니다. 환경 프록시 미들웨어가 인증 절차를 거치기 전에 특정 경로의 요청을 처리하고 관리자 토큰을 자동으로 첨부하기 때문에 발생합니다. 이를 통해 공격자는 원격 환경의 컨테이너 목록 조회, 로그 스트리밍 등 다양한 조작을 수행할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 관리자 권한을 가로채서 원격 서버의 컨테이너를 마음대로 조작할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 중요한 데이터가 유출되거나 서비스가 중단될 위험이 있습니다.
🇺🇸 원문 (English)
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to version 1.13.2, unauthenticated requests could be proxied to remote environment agents, allowing access to remote environment resources without authentication. The environment proxy middleware handled `/api/environments/{id}/...` requests for remote environments before authentication was enforced. When the environment ID was not local, the middleware proxied the request and attached the manager-held agent token, even if the caller was unauthenticated. This enabled unauthenticated access to remote environment operations (e.g., listing containers, streaming logs, or other agent endpoints). An unauthenticated attacker could access and manipulate remote environment resources via the proxy, potentially leading to data exposure, unauthorized changes, or service disruption. Version 1.13.2 patches the vulnerability.
📍 영향받는 시스템
Arcane version < 1.13.2
⚔️ 공격 벡터
인증되지 않은 상태에서 `/api/environments/{id}/...` 경로로 프록시 요청을 전송하여 관리자 토큰을 탈취 및 활용
🛡️ 대응 방법
Arcane 버전을 1.13.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.13.2 미만의 버전 번호가 출력되면 취약한 상태이며, 아무것도 출력되지 않거나 1.13.2 이상이면 안전합니다.
arcane --version 2>/dev/null | grep -E '1\.(1[3-9]|([2-9][0-9]))\.'