🇰🇷 한글 설명
zrok은 웹 서비스, 파일, 네트워크 리소스를 공유하기 위한 소프트웨어입니다. 2.0.1 이전 버전의 unaccess 핸들러(controller/unaccess.go)에서 소유권 검증 로직 오류가 있어, 관리자가 생성한 전역 프론트엔드(environment_id = NULL)에 대해 소유권 확인 없이 삭제가 가능합니다. 이로 인해 인증된 일반 사용자가 전역 프론트엔드 토큰을 알고 있을 경우 이를 삭제하여 해당 프론트엔드를 경유하는 모든 공개 공유를 중단시킬 수 있습니다.
💡 쉬운 설명
공유 서비스에서 관리자가 만든 공용 연결 지점을 일반 사용자가 권한 없이 삭제할 수 있는 결함입니다. 이로 인해 그 지점을 통해 제공되던 모든 공개 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
zrok is software for sharing web services, files, and network resources. Prior to version 2.0.1, the unaccess handler (controller/unaccess.go) contains a logical error in its ownership guard: when a frontend record has environment_id = NULL (the marker for admin-created global frontends), the condition short-circuits to false and allows the deletion to proceed without any ownership verification. A non-admin user who knows a global frontend token can call DELETE /api/v2/unaccess with any of their own environment IDs and permanently delete the global frontend, taking down all public shares routed through it. Version 2.0.1 patches the issue.
📍 영향받는 시스템
zrok 2.0.1 미만 버전
⚔️ 공격 벡터
일반 사용자 계정으로 전역 프론트엔드 토큰을 알고 있는 상태에서 DELETE /api/v2/unaccess 요청에 자신의 environment ID를 담아 전역 프론트엔드를 삭제
🛡️ 대응 방법
zrok을 2.0.1 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.0.1 미만이면 취약하며, 2.0.1 이상이면 패치가 적용된 것입니다.
zrok version 2>/dev/null || zrok --version 2>/dev/null