🇰🇷 한글 설명
Glances 오픈소스 시스템 모니터링 도구의 XML-RPC 서버에서 CORS 설정 오류가 발견되었습니다. cors_origins 설정에 두 개 이상의 항목을 입력할 경우, 보안을 위해 설정된 허용 목록 대신 모든 도메인을 허용하는 와일드카드(*)가 적용됩니다. 이로 인해 악의적인 웹 페이지가 사용자의 브라우저를 통해 시스템 모니터링 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
보안을 위해 특정 사이트만 접속할 수 있게 설정했는데, 오히려 모든 사이트가 접속할 수 있게 문이 열려버린 상태입니다. 이를 통해 해커가 만든 웹사이트에 접속하기만 해도 내 컴퓨터의 시스템 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Glances is an open-source system cross-platform monitoring tool. Prior to 4.5.5, the Glances XML-RPC server (glances -s) introduced a configurable CORS origin list in version 4.5.3 as a mitigation for CVE-2026-33533. However, the implementation silently falls back to Access-Control-Allow-Origin: * whenever cors_origins contains more than one entry. An operator who configures an explicit two-entry allowlist (e.g. two internal dashboard origins) intending to restrict browser access instead receives the unrestricted wildcard. A malicious web page served from any origin can issue a CORS simple request to /RPC2 and read the full system monitoring dataset without the victim's knowledge. This vulnerability is fixed in 4.5.5.
📍 영향받는 시스템
Glances 4.5.5 미만 버전 (XML-RPC 서버 사용 시)
⚔️ 공격 벡터
악의적인 웹 페이지를 통한 CORS 단순 요청(Simple Request) 및 데이터 탈취
🛡️ 대응 방법
Glances를 최신 버전인 4.5.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 4.5.5 미만의 버전 번호가 나타나면 취약한 버전이 설치된 것입니다.
glances --version 2>/dev/null | grep -E '4\.[0-4]\.'