🇰🇷 한글 설명
SFTPGo 2.2.0부터 2.7.3 버전 사이에서 브라우저를 통한 파일 다운로드 시 Content-Disposition 헤더가 억제되는 취약점이 발견되었습니다. 공격자가 공유 디렉토리에 악성 HTML 파일을 업로드할 수 있다면, 피해자가 해당 링크를 클릭했을 때 파일이 다운로드되지 않고 브라우저에서 직접 실행되어 공격자의 스크립트가 실행될 수 있습니다. 이 문제는 2.7.3 버전에서 수정되었습니다.
💡 쉬운 설명
파일을 다운로드할 때 실행되지 않도록 막아주는 안전장치가 풀리는 문제입니다. 공격자가 올린 가짜 웹페이지 파일을 사용자가 클릭하면, 사용자의 브라우저에서 악성 코드가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
SFTPGo is an open source, event-driven file transfer solution. From 2.2.0 until 2.7.3, the inline query parameter on browsable-share file downloads and authenticated user-file downloads suppresses Content-Disposition: attachment, allowing an attacker-controlled HTML file stored in a share or home directory to be served as text/html in the SFTPGo web origin. An attacker who can place the file can send a crafted link to a victim, and opening that link executes the stored content in the victim's browser context. Exploitation requires social engineering and suitable share or shared-folder access, while HttpOnly session cookies limit direct cookie theft. This issue is fixed in version 2.7.3.
📍 영향받는 시스템
SFTPGo 2.2.0 ~ 2.7.3
⚔️ 공격 벡터
공격자가 업로드한 악성 HTML 파일 링크를 사회공학적 기법(피싱 등)으로 피해자에게 클릭하도록 유도
🛡️ 대응 방법
SFTPGo를 최신 보안 패치가 적용된 2.7.3 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.7.3 미만인지 확인하여 취약 여부를 판단합니다.
sftpgo --version 2>/dev/null || echo 'SFTPGo not found or version command failed'