🇰🇷 한글 설명
NATS-Server의 특정 버전에서 Nats-Request-Info: 헤더가 유입 메시지에서 완전히 제거되지 않는 취약점이 발견되었습니다. 이로 인해 유효한 자격 증명을 가진 공격자가 자신의 신원을 위조하여 해당 헤더를 신뢰하는 서비스에 속임수를 쓸 수 있습니다.
💡 쉬운 설명
메시지를 보낼 때 '나는 누구입니다'라고 적힌 이름표를 서버가 제대로 지워주지 않는 문제입니다. 이를 이용해 공격자가 다른 사람인 척 이름을 속여서 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to versions 2.11.15 and 2.12.6, the NATS message header `Nats-Request-Info:` is supposed to be a guarantee of identity by the NATS server, but the stripping of this header from inbound messages was not fully effective. An attacker with valid credentials for any regular client interface could thus spoof their identity to services which rely upon this header. Versions 2.11.15 and 2.12.6 contain a fix. No known workarounds are available.
📍 영향받는 시스템
NATS-Server 2.11.15 및 2.12.6 미만 버전
⚔️ 공격 벡터
유효한 클라이언트 자격 증명을 가진 공격자가 조작된 헤더를 포함한 메시지를 전송하여 신원 위조
🛡️ 대응 방법
NATS-Server를 2.11.15 또는 2.12.6 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.11.15 또는 2.12.6보다 낮은지 확인하십시오.
nats-server --version 2>/dev/null || echo 'NATS-Server not found in PATH'