🇰🇷 한글 설명
OwnTone Server 28.4에서 29.0 버전 사이의 DAAP 쿼리 및 필터 처리 과정에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 query= 및 filter= 파라미터에 악성 SQL 구문을 삽입하여 미디어 라이브러리 데이터에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
서버의 데이터 검색 기능에 보안 허점이 있어, 나쁜 명령어를 입력하면 서버의 데이터베이스를 마음대로 조작할 수 있는 문제입니다. 이를 통해 공격자가 사용자의 미디어 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
OwnTone Server versions 28.4 through 29.0 contain a SQL injection vulnerability in DAAP query and filter handling that allows attackers to inject arbitrary SQL expressions by supplying malicious values through the query= and filter= parameters for integer-mapped DAAP fields. Attackers can exploit insufficient sanitization of these parameters to bypass filters and gain unauthorized access to media library data.
📍 영향받는 시스템
OwnTone Server versions 28.4 through 29.0
⚔️ 공격 벡터
DAAP 프로토콜의 query= 및 filter= 파라미터를 통한 SQL 인젝션 공격
🛡️ 대응 방법
OwnTone Server를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 28.4 미만이거나 29.0을 초과하는지 확인하십시오.
owntone-server --version 2>/dev/null || echo 'Version check required'