🇰🇷 한글 설명
Joplin Server 3.7.2 미만 버전에서 SSO 인증 코드에 대한 무차별 대입 공격 방지 기능이 누락된 취약점이 발견되었습니다. 공격자는 유효한 9자리 인증 코드를 찾을 때까지 무제한으로 시도할 수 있으며, 성공 시 사용자의 노트와 계정 설정에 접근 및 수정이 가능합니다.
💡 쉬운 설명
로그인할 때 사용하는 일회용 번호를 맞추는 과정에서 횟수 제한이 없어, 해커가 번호를 무작위로 계속 입력해 로그인을 성공할 수 있는 문제입니다. 로그인이 성공하면 해커가 사용자의 모든 메모와 개인 정보를 훔쳐보거나 바꿀 수 있습니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.2, Joplin Server's GET /api/login_with_code/:id endpoint accepts a nine-digit SSO authentication code with a ten-minute lifetime without applying limiterLoginBruteForce. An unauthenticated attacker who targets a user during an active SSO login can make unlimited guesses, and a correct code returns a full session token that permits access to and modification of the user's notes, notebooks, and account settings. This issue is fixed in version 3.7.2.
📍 영향받는 시스템
Joplin Server 3.7.2 미만 버전
⚔️ 공격 벡터
인증 코드 입력 엔드포인트(GET /api/login_with_code/:id)를 대상으로 한 무차별 대입 공격(Brute-force)
🛡️ 대응 방법
Joplin Server를 최신 버전인 3.7.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.7.2보다 낮은지 확인하여 취약 여부를 판단합니다.
curl -s http://<joplin-server-url>/api/version | grep -E 'version' || echo 'Version check failed'