🇰🇷 한글 설명
OwnTone Server 28.4부터 29.0까지의 버전에는 DAAP 로그인 핸들러에 경쟁 조건(race condition) 취약점이 존재합니다. 전역 DAAP 세션 목록에 대한 동기화되지 않은 접근으로 인해 발생하며, 인증되지 않은 공격자가 서버를 중단시킬 수 있습니다. 공격자는 DAAP /login 엔드포인트에 동시 요청을 대량으로 보내 원격 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
음악 스트리밍 서버인 OwnTone의 로그인 기능에 결함이 있어, 누구든 로그인 요청을 한꺼번에 많이 보내면 서버가 멈출 수 있습니다. 로그인 없이도 공격이 가능하므로 해당 버전을 사용 중이라면 빠른 업데이트가 필요합니다.
🇺🇸 원문 (English)
OwnTone Server versions 28.4 through 29.0 contain a race condition vulnerability in the DAAP login handler that allows unauthenticated attackers to crash the server by exploiting unsynchronized access to the global DAAP session list. Attackers can flood the DAAP /login endpoint with concurrent requests to trigger a remote denial of service condition without requiring authentication.
📍 영향받는 시스템
OwnTone Server 28.4 ~ 29.0 버전
⚔️ 공격 벡터
인증 없이 네트워크에서 DAAP /login 엔드포인트로 동시 요청을 대량 전송하여 서버 충돌 유발
🛡️ 대응 방법
OwnTone Server를 해당 취약 버전 범위 밖의 최신 패치 버전으로 업그레이드하고, 신뢰할 수 없는 네트워크에서의 DAAP 포트 접근을 방화벽으로 차단
🔧 검증 코드
출력된 버전 번호가 28.4 이상 29.0 이하이면 취약하므로 패치가 필요하며, 패키지가 설치되지 않았다면 결과가 비어 있습니다.
owntone -V 2>/dev/null || dpkg -l owntone 2>/dev/null | grep -i owntone