🇰🇷 한글 설명
Lyrion Music Server 9.2.0에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 GENRE, ARTIST, ALBUM 등 미디어 파일의 메타데이터 태그에 악성 스크립트를 삽입할 수 있습니다. 해당 파일의 트랙 정보를 보거나 재생할 때 웹 인터페이스에서 스크립트가 실행되어 관리 기능 접근과 설정 정보 노출이 가능해집니다.
💡 쉬운 설명
음악 파일에 적힌 장르나 아티스트 같은 정보에 악성 코드를 숨겨둘 수 있습니다. 관리자가 그 음악을 웹 화면에서 보면 악성 코드가 실행되어 서버 설정이 노출될 수 있습니다.
🇺🇸 원문 (English)
Lyrion Music Server 9.2.0 contains a stored cross-site scripting vulnerability that allows attackers to inject malicious scripts through media file metadata tags like GENRE, ARTIST, and ALBUM. Attackers can craft files with XSS payloads in metadata tags that execute in the web interface when users view track information or play files, enabling access to management functions and settings disclosure.
📍 영향받는 시스템
Lyrion Music Server 9.2.0
⚔️ 공격 벡터
악성 XSS 페이로드가 담긴 메타데이터 태그를 가진 미디어 파일을 서버에 추가한 뒤, 사용자가 해당 트랙을 웹 인터페이스에서 조회하거나 재생하도록 유도
🛡️ 대응 방법
Lyrion Music Server를 취약점이 수정된 최신 버전으로 업그레이드하고, 신뢰할 수 없는 미디어 파일의 추가를 제한
🔧 검증 코드
출력에 9.2.0이 보이면 취약한 버전이므로 즉시 업그레이드가 필요하며, 명령어가 결과를 출력하지 않으면 설치되지 않았거나 다른 방식으로 설치된 것이므로 설치 경로를 별도로 확인해야 합니다.
lyrion-server --version 2>/dev/null || dpkg -l lyrion* 2>/dev/null | grep -E '9\.2\.0'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server