🇰🇷 한글 설명
Quark Drive 0.8.5 미만 버전의 POST /update 엔드포인트에서 대량 할당(Mass Assignment) 취약점이 발견되었습니다. 인증된 공격자가 config_data 딕셔너리에 임의의 webui 객체를 전송하여 관리자 자격 증명을 덮어쓸 수 있으며, 이를 통해 관리자 권한을 탈취하고 시스템에 지속적으로 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 시스템 설정값을 조작하여 관리자의 비밀번호를 마음대로 바꿀 수 있는 보안 결함입니다. 공격자가 관리자 권한을 뺏어 시스템의 모든 데이터와 설정에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
Quark Drive before 0.8.5 contains a mass assignment vulnerability in the POST /update endpoint that allows authenticated attackers to overwrite administrator credentials by posting an arbitrary webui object to the config_data dictionary. Attackers can exploit insufficient deny-list filtering to permanently replace stored login credentials, lock out legitimate administrators, and gain persistent access to all configured tasks, cloud tokens, and notification services.
📍 영향받는 시스템
Quark Drive 0.8.5 미만 모든 버전
⚔️ 공격 벡터
인증된 공격자가 POST /update 엔드포인트에 조작된 webui 객체를 포함한 요청을 전송
🛡️ 대응 방법
Quark Drive를 0.8.5 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.8.5 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>/api/version | grep -E '0\.[0-8]\.[0-4]'