🇰🇷 한글 설명
Kimai 오픈소스 시간 추적 애플리케이션의 Docker 이미지 설정 오류로 인해 발생하는 취약점입니다. 2.58.0 미만 버전에서는 APP_SECRET이 기본값으로 설정되어 있어, 공격자가 인증된 쿠키나 로그인 링크를 위조하여 비밀번호 없이 계정에 접근할 수 있습니다.
💡 쉬운 설명
프로그램의 비밀 열쇠가 누구나 알 수 있는 기본값으로 설정되어 있어 보안이 취약한 상태입니다. 이를 통해 해커가 가짜 로그인 정보를 만들어 사용자의 계정을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Kimai is an open-source time tracking application. Prior to 2.58.0, the official Docker image sets APP_SECRET to the public value change_this_to_something_unique in Dockerfile, and .docker/entrypoint.sh neither replaces nor rejects that value before Symfony uses it as kernel.secret. An unauthenticated attacker who reaches a deployment that did not override APP_SECRET, knows a username, correctly guesses the account ID associated with that username, and targets an account without active two-factor authentication can forge HMAC-protected authentication artifacts, including KIMAI_REMEMBER cookies and login links, to access the account without its password. The updated entrypoint generates and persists a random secret when no safe operator-provided value exists. This issue is fixed in version 2.58.0.
📍 영향받는 시스템
Kimai Docker 이미지 버전 2.58.0 미만
⚔️ 공격 벡터
기본 APP_SECRET 값을 이용한 HMAC 인증 아티팩트(KIMAI_REMEMBER 쿠키 등) 위조
🛡️ 대응 방법
Kimai를 2.58.0 버전 이상으로 업데이트하거나 Docker 환경 변수에서 APP_SECRET을 고유한 값으로 직접 설정하십시오.
🔧 검증 코드
출력된 Kimai 이미지의 태그(버전)가 2.58.0 미만인지 확인하십시오.
docker images | grep kimai