🇰🇷 한글 설명
Coolify의 특정 버전에서 웹훅 검증에 사용되는 HMAC 키가 null로 설정될 수 있는 취약점이 발견되었습니다. PHP의 hash_hmac() 함수가 null 키를 빈 문자열로 처리함에 따라, 공격자가 예측 가능한 해시값을 생성하여 인증 없이 배포를 트리거할 수 있습니다.
💡 쉬운 설명
서버에 명령을 내릴 때 사용하는 '비밀번호'가 비어 있는 상태로 방치되어 발생하는 문제입니다. 공격자가 이 빈 비밀번호를 이용해 가짜 명령을 보내면 서버가 이를 정상적인 명령으로 착각하고 실행하게 됩니다.
🇺🇸 원문 (English)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.474, the HMAC key is the application's manual_webhook_secret_github field, which is used by Coolify's webhook endpoints to validate incoming requests, is nullable with no default — meaning newly created applications have a null webhook secret. PHP's hash_hmac() function silently coerces a null key to an empty string ''. So when the secret is null, the server computes hash_hmac('sha256', $payload, '') — a deterministic value that any attacker can calculate independently. By sending X-Hub-Signature-256: sha256=<hash_hmac('sha256', payload, '')>, an unauthenticated attacker can forge a valid signature and trigger deployments. This vulnerability is fixed in 4.0.0-beta.474.
📍 영향받는 시스템
Coolify versions prior to 4.0.0-beta.474
⚔️ 공격 벡터
공격자가 빈 키를 사용해 계산한 유효한 HMAC 서명을 포함한 HTTP 요청을 웹훅 엔드포인트로 전송
🛡️ 대응 방법
Coolify를 4.0.0-beta.474 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 4.0.0-beta.474와 같거나 그보다 높은 버전인지 확인하십시오.
curl -s http://<coolify-instance>/api/version | grep -E '4.0.0-beta.474|>=4.0.0-beta.474'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server