🇰🇷 한글 설명
LobeHub 2.1.48 미만 버전에서 웹 API 인증 계층이 클라이언트가 제어 가능한 X-lobe-chat-auth 헤더를 신뢰하는 취약점이 발견되었습니다. 해당 헤더는 서명되지 않고 XOR 방식으로 난독화만 되어 있으며, 사용된 XOR 키가 저장소에 하드코딩되어 있어 공격자가 임의의 인증 페이로드를 위조하고 인증을 우회할 수 있습니다.
💡 쉬운 설명
로그인 확인을 위한 암호화 방식이 매우 허술하여, 공격자가 가짜 로그인 정보를 만들어 시스템에 마음대로 접속할 수 있는 문제입니다. 고정된 암호 키가 공개되어 있어 누구나 인증 과정을 속일 수 있습니다.
🇺🇸 원문 (English)
LobeHub is a work-and-lifestyle space to find, build, and collaborate with agent teammates that grow with you. Prior to 2.1.48, the webapi authentication layer trusts a client-controlled X-lobe-chat-auth header that is only XOR-obfuscated, not signed or otherwise authenticated. Because the XOR key is hardcoded in the repository, an attacker can forge arbitrary auth payloads and bypass authentication on protected webapi routes. Affected routes include /webapi/chat/[provider], /webapi/models/[provider], /webapi/models/[provider]/pull, and /webapi/create-image/comfyui. This vulnerability is fixed in 2.1.48.
📍 영향받는 시스템
LobeHub 2.1.48 미만 버전
⚔️ 공격 벡터
하드코딩된 XOR 키를 사용하여 조작된 X-lobe-chat-auth 헤더를 전송함으로써 인증 우회
🛡️ 대응 방법
LobeHub를 최신 버전인 2.1.48 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.1.48 이상의 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://<target-ip>/api/version | grep -E '2.1.48'