🇰🇷 한글 설명
Glances 4.5.3 이전 버전의 XML-RPC 서버는 모든 HTTP 응답에 Access-Control-Allow-Origin: * 헤더를 포함하며, Content-Type 검증을 하지 않습니다. 이로 인해 악성 웹페이지가 단순 CORS 요청으로 시스템 모니터링 데이터를 탈취할 수 있습니다. 탈취 대상에는 호스트명, IP 주소, 리소스 사용량, 명령줄이 포함된 전체 프로세스 목록이 포함됩니다.
💡 쉬운 설명
Glances 모니터링 서버가 어떤 웹사이트의 접근이든 허용하도록 설정되어 있어 문제가 됩니다. 방문한 악성 웹사이트가 서버의 시스템 정보와 실행 중인 프로세스 목록을 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.3, the Glances XML-RPC server (activated with glances -s or glances --server) sends Access-Control-Allow-Origin: * on every HTTP response. Because the XML-RPC handler does not validate the Content-Type header, an attacker-controlled webpage can issue a CORS "simple request" (POST with Content-Type: text/plain) containing a valid XML-RPC payload. The browser sends the request without a preflight check, the server processes the XML body and returns the full system monitoring dataset, and the wildcard CORS header lets the attacker's JavaScript read the response. The result is complete exfiltration of hostname, OS version, IP addresses, CPU/memory/disk/network stats, and the full process list including command lines (which often contain tokens, passwords, or internal paths). This issue has been patched in version 4.5.3.
📍 영향받는 시스템
Glances 4.5.3 미만 버전을 XML-RPC 서버 모드(glances -s 또는 glances --server)로 실행 중인 시스템
⚔️ 공격 벡터
피해자가 악성 웹페이지를 방문하면, 해당 페이지의 JavaScript가 Glances 서버에 text/plain CORS 요청을 보내 시스템 정보와 프로세스 목록(토큰, 비밀번호 포함 가능)을 탈취합니다.
🛡️ 대응 방법
Glances를 4.5.3 이상으로 업그레이드하고, 불필요한 경우 XML-RPC 서버 모드를 비활성화하며, 신뢰된 네트워크에서만 접근하도록 방화벽으로 제한합니다.
🔧 검증 코드
출력된 Version 값이 4.5.3 미만이면 취약하므로 업그레이드가 필요하고, 4.5.3 이상이면 패치가 적용된 상태입니다.
pip show glances 2>/dev/null | grep -i version