🇰🇷 한글 설명
Algernon 1.17.7 이전 버전에서 Linux/macOS 플랫폼의 기본값 설정 오류로 인해 SSE 이벤트 서버가 모든 네트워크 인터페이스(0.0.0.0:5553)에 바인드됩니다. 이로 인해 권한 없는 공격자가 네트워크를 통해 서버에 접근 가능합니다.
💡 쉬운 설명
Algernon 웹 서버가 실수로 모든 네트워크를 통해 누구나 접속할 수 있도록 포트를 열었습니다. 1.17.7 버전으로 업데이트하면 특정 인터페이스만 수신하도록 수정됩니다.
🇺🇸 원문 (English)
Algernon is a small self-contained pure-Go web server. Prior to 1.17.7, the SSE event server bound to 0.0.0.0:5553 on Linux/macOS by default because the platform-dependent host default in engine/flags.go:39-46 set host = "" for non-Windows, and utils.JoinHostPort("", ":5553") resolves to ":5553". This vulnerability is fixed in 1.17.7.
📍 영향받는 시스템
Algernon < 1.17.7 (Linux, macOS)
⚔️ 공격 벡터
네트워크를 통해 포트 5553에 직접 접근하여 SSE 이벤트 서버에 무인증 접속
🛡️ 대응 방법
Algernon을 1.17.7 이상 버전으로 업그레이드
🔧 검증 코드
명령어가 버전을 출력하면 취약한 버전입니다. 1.17.7 이상(v1.17.7 또는 그 이상)이면 안전합니다.
go list -m github.com/xyproto/algernon 2>/dev/null | awk '{print $2}' | grep -E '^v1\.(1[0-6]|17\.[0-6])'
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux