🇰🇷 한글 설명
Password Pusher는 민감한 정보를 웹으로 안전하게 전달하는 오픈소스 애플리케이션입니다. 1.69.3 및 2.4.2 이전 버전에서 특정 설정 하에 범용 JSON API 생성 경로를 통해 인증되지 않은 사용자가 파일 유형 push를 생성할 수 있는 보안 문제가 있었으며, 이는 파일 push 생성에 대한 인증 경계를 우회할 수 있습니다. 해당 문제는 1.69.3 및 2.4.2 버전에서 패치되었습니다.
💡 쉬운 설명
로그인하지 않은 사람도 특정 설정에서는 파일을 올릴 수 있는 문제가 있었습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Password Pusher is an open source application to communicate sensitive information over the web. Prior to versions 1.69.3 and 2.4.2, a security issue in OSS PasswordPusher allowed unauthenticated creation of file-type pushes through a generic JSON API create path under certain configurations. This could bypass the intended authentication boundary for file push creation. This issue has been patched in versions 1.69.3 and 2.4.2.
📍 영향받는 시스템
Password Pusher 1.69.3 미만 및 2.4.2 미만 버전 (특정 설정 필요)
⚔️ 공격 벡터
인증되지 않은 공격자가 범용 JSON API 생성 경로를 호출해 파일 유형 push를 생성
🛡️ 대응 방법
Password Pusher를 1.69.3 이상 또는 2.4.2 이상 버전으로 업데이트
🔧 검증 코드
출력된 이미지 태그의 버전을 확인해 1.69.3 이상 또는 2.4.2 이상이면 패치된 것이며, 아무 결과도 없으면 Docker에서 실행 중인 해당 컨테이너가 없는 것입니다.
docker ps --format '{{.Image}}' 2>/dev/null | grep -i pwpush