🇰🇷 한글 설명
Gotenberg 8.32.0 및 이전 버전에서 파일 이름 처리 시 리눅스 환경의 filepath.Base 함수가 백슬래시(\)를 경로 구분자로 인식하지 못하는 취약점이 발견되었습니다. 공격자가 윈도우 스타일의 경로 구성 요소를 포함한 파일 이름을 전송할 경우, 생성된 ZIP 압축 파일이 윈도우 시스템에서 압축 해제될 때 의도하지 않은 디렉토리에 파일을 작성할 수 있습니다.
💡 쉬운 설명
파일 이름을 조작하여 압축 파일 안에 '위험한 경로'를 숨길 수 있는 보안 결함입니다. 이 파일을 윈도우 컴퓨터에서 압축 해제하면 해커가 원하는 위치에 악성 파일을 생성할 수 있습니다.
🇺🇸 원문 (English)
Gotenberg is a Docker-powered stateless API for PDF files. In 8.32.0 and earlier, filename handling in pkg/modules/api/context.go uses filepath.Base on Linux, which does not treat backslashes as path separators, so a multipart filename containing Windows-style parent directory components survives sanitization. The original filename flows through ctx.diskToOriginal and the multi-output PDF routes into archives.FilesFromDisk and archives.Zip.Archive as the generated zip entry name. A remote attacker can submit a name such as ........\Windows\System32\evil.pdf through an upload or an upstream downloadFrom Content-Disposition header, and a Windows archive extractor can write the resulting file outside the intended extraction directory. The affected paths include /forms/pdfengines/split and other multi-output PDF, LibreOffice, and conversion routes, and exploitation can cause arbitrary file writes on a downstream Windows system when a user or process extracts the returned archive. This issue is fixed in version 8.33.0.
📍 영향받는 시스템
Gotenberg 8.32.0 및 그 이전 버전
⚔️ 공격 벡터
멀티파트 파일 이름 또는 Content-Disposition 헤더를 통한 조작된 파일 이름 업로드
🛡️ 대응 방법
Gotenberg를 8.33.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 이미지의 태그(버전)가 8.33.0 미만인지 확인하십시오.
docker images | grep gotenberg
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux