🇰🇷 한글 설명
Fleet은 오픈소스 기기 관리 소프트웨어로, 4.80.1 이전 버전에서는 요청의 출처 IP를 판단할 때 클라이언트가 보낸 IP 주소 헤더를 검증 없이 신뢰했습니다. 이로 인해 공격자는 IP를 위조하여 IP 기반 요청 제한(rate limit)을 우회할 수 있으며, 인증 엔드포인트에 대한 무차별 대입 및 패스워드 스프레이 공격의 효율이 높아질 수 있습니다. 단독으로는 인증 우회, 권한 상승, 데이터 노출, 원격 코드 실행은 발생하지 않습니다.
💡 쉬운 설명
Fleet 서버가 접속자의 IP를 확인할 때 요청에 담긴 헤더 값을 그대로 믿는 문제가 있습니다. 공격자가 매번 다른 IP인 것처럼 속여 로그인 시도 횟수 제한을 피할 수 있습니다.
🇺🇸 원문 (English)
Fleet is open source device management software. Prior to version 4.80.1, Fleet trusted client-supplied IP address headers when determining the source IP for incoming requests. This allowed authenticated and unauthenticated clients to spoof their apparent IP address and bypass per-IP rate limiting controls. Fleet determines a client’s public IP address using HTTP headers such as X-Forwarded-For, X-Real-IP, and/or True-Client-IP. These headers were trusted without validation. An attacker could supply arbitrary values in these headers, causing Fleet to treat each request as originating from a different IP address. This could allow an attacker to bypass per-IP rate limits and increase the effectiveness of brute-force or password-spraying attempts against authentication endpoints. This issue does not allow authentication bypass, privilege escalation, data exposure, or remote code execution on its own. Version 4.80.1 contains a patch. As a workaround, run Fleet behind a trusted reverse proxy or load balancer that overwrites client IP headers.
📍 영향받는 시스템
Fleet 4.80.1 미만 버전
⚔️ 공격 벡터
X-Forwarded-For, X-Real-IP, True-Client-IP 등의 헤더에 임의의 IP를 넣어 요청을 보내 IP 기반 속도 제한을 우회
🛡️ 대응 방법
Fleet을 4.80.1 이상으로 업데이트하거나, 클라이언트 IP 헤더를 덮어쓰는 신뢰된 리버스 프록시/로드밸런서 뒤에서 운영
🔧 검증 코드
출력된 버전이 4.80.1 미만이면 취약하며, 4.80.1 이상이면 패치가 적용된 것입니다. 버전 정보가 나오지 않으면 설치 경로를 직접 확인해야 합니다.
fleetctl version 2>/dev/null || (docker exec fleet fleet version 2>/dev/null) || grep -rhoE 'fleet[^ ]*v?4\.[0-9]+\.[0-9]+' /opt/fleet /usr/local/bin 2>/dev/null | head -1