🇰🇷 한글 설명
Gotenberg 8.32.0 이전 버전에서 PDF 스탬프/워터마크 기능의 경로 검증이 부족하여, 인증되지 않은 공격자가 사용자 제어 경로를 통해 서버 파일시스템의 모든 PDF 파일을 읽을 수 있습니다. 파일 업로드 없이 경로 표현식만으로 접근 가능합니다.
💡 쉬운 설명
Gotenberg API에서 PDF에 도장/워터마크를 추가할 때, 파일을 검증하지 않고 경로를 그대로 사용하는 문제입니다. 공격자는 파일 경로를 입력해 서버의 모든 PDF를 다운로드받을 수 있습니다.
🇺🇸 원문 (English)
Gotenberg is a Docker-powered stateless API for PDF files. Prior to 8.32.0, pdfengines/merge, pdfengines/split, libreoffice/convert, chromium/convert/url, chromium/convert/html, and chromium/convert/markdown accept stampSource=pdf + stampExpression=/path and watermarkSource=pdf + watermarkExpression=/path from anonymous callers. The dedicated stamp/watermark routes require an uploaded file when the source type is image or pdf; these six routes only overwrite the expression when a file is uploaded, leaving the user-controlled path intact when no file is attached. pdfcpu opens the path and composites its pages onto the output PDF, which returns to the caller. An attacker reads any PDF the Gotenberg process can access on the container filesystem. This vulnerability is fixed in 8.32.0.
📍 영향받는 시스템
Gotenberg < 8.32.0 (모든 배포 방식)
⚔️ 공격 벡터
stampSource=pdf&stampExpression=/path/to/pdf 또는 watermarkSource=pdf&watermarkExpression=/path/to/pdf 파라미터로 경로 지정하여 비인가 파일 접근
🛡️ 대응 방법
Gotenberg를 8.32.0 이상으로 업그레이드
🔧 검증 코드
반환된 버전이 8.32.0 이상이면 안전, 이하이면 취약함. 응답이 없으면 Gotenberg가 실행 중이지 않음.
docker inspect gotenberg 2>/dev/null | grep -i version || curl -s http://localhost:3000/health | jq '.version' 2>/dev/null || echo 'Gotenberg not running'