🇰🇷 한글 설명
FOSSBilling 0.8.0 미만 버전에서 보안 설정인 `hide_version_public`이 활성화되어 있어도 HTML 출력 내 자산 캐시 버스터 파라미터를 통해 시스템 버전이 노출되는 취약점입니다. 이 정보는 인증되지 않은 방문자에게도 모든 페이지에서 노출되어 공격자가 특정 버전에 특화된 취약점을 식별하고 공격을 준비하는 데 악용될 수 있습니다.
💡 쉬운 설명
웹사이트의 보안 설정을 통해 버전을 숨기려고 해도, 웹사이트가 사용하는 파일 주소에 버전 정보가 몰래 포함되어 노출되는 문제입니다. 해커는 이 정보를 통해 해당 사이트가 어떤 약점을 가지고 있는지 쉽게 파악할 수 있습니다.
🇺🇸 원문 (English)
FOSSBilling is a free, open-source billing and client management system. Versions prior to 0.8.0 leak the exact system version through asset cache buster parameters in HTML output, bypassing the `hide_version_public` security setting. The FOSSBilling version is embedded in the query string of every `<script>` and `<link>` tag generated by the `script_tag` and `stylesheet_tag` Twig filters. This information is visible to all visitors — including unauthenticated guests — on every page, regardless of whether the `hide_version_public` setting is enabled. The `X-FOSSBilling-Version` HTTP header and the `guest.system.version` API endpoint correctly honour the `hide_version_public` setting, but the asset cache buster parameters were overlooked. Knowledge of the exact FOSSBilling version makes it significantly easier for malicious actors to identify known vulnerabilities applicable to a given installation and craft targeted exploits. While not a direct vulnerability on its own, it undermines the intended protection offered by the `hide_version_public` setting and facilitates reconnaissance. Version 0.8.0 contains a patch. There is no practical workaround that removes the version from asset URLs without modifying source code.
📍 영향받는 시스템
FOSSBilling 0.8.0 미만 모든 버전
⚔️ 공격 벡터
웹 페이지 소스 코드 내 <script> 또는 <link> 태그의 쿼리 스트링 파라미터 확인을 통한 정보 수집
🛡️ 대응 방법
FOSSBilling을 버전 0.8.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과 HTML 소스 내 스크립트나 스타일시트 URL에 버전 정보로 추정되는 쿼리 파라미터가 포함되어 있는지 확인합니다.
curl -s https://<TARGET_URL>/ | grep -E '<script| <link' | grep '?'