🇰🇷 한글 설명
Fleet 오픈소스 기기 관리 소프트웨어의 4.81.0 이전 버전에서, 비밀번호 관리 로직의 취약점으로 인해 이전에 발급된 비밀번호 재설정 토큰이 사용자가 비밀번호를 변경한 후에도 유효하게 남아 있을 수 있습니다. 이로 인해 방어 목적의 비밀번호 변경 이후에도 오래된 재설정 토큰으로 계정 비밀번호를 재설정할 수 있습니다. 버전 4.81.0에서 이 문제가 패치되었습니다.
💡 쉬운 설명
비밀번호를 바꿔도 예전에 발급된 비밀번호 재설정 링크가 여전히 작동할 수 있습니다. 이를 악용하면 누군가 계정의 비밀번호를 다시 바꿀 수 있습니다.
🇺🇸 원문 (English)
Fleet is open source device management software. Prior to 4.81.0, a vulnerability in Fleet’s password management logic could allow previously issued password reset tokens to remain valid after a user changes their password. As a result, a stale password reset token could be reused to reset the account password even after a defensive password change. Version 4.81.0 patches the issue.
📍 영향받는 시스템
Fleet 4.81.0 미만 버전 (Fleet 기기 관리 서버)
⚔️ 공격 벡터
공격자가 탈취 또는 유출된 이전 비밀번호 재설정 토큰을 사용해 사용자 비밀번호 변경 이후에도 계정 비밀번호를 재설정
🛡️ 대응 방법
Fleet을 4.81.0 이상 버전으로 업그레이드하고, 의심되는 계정은 비밀번호를 재설정한 뒤 기존 재설정 토큰을 무효화
🔧 검증 코드
출력된 버전이 4.81.0 미만이면 취약하고, 4.81.0 이상이면 패치된 것입니다. 아무 출력이 없으면 Fleet이 설치되어 있지 않거나 실행 중이 아닙니다.
fleetctl version 2>/dev/null || (docker inspect $(docker ps --filter ancestor=fleetdm/fleet -q | head -1) --format '{{.Config.Image}}' 2>/dev/null)