🇰🇷 한글 설명
Traccar 6.14.0 미만 버전에서 인증된 사용자가 권한 삭제 API를 통해 조작된 JSON 키를 전송할 수 있는 취약점이 발견되었습니다. 이 취약점은 데이터베이스 저장 과정에서 입력값이 SQL 구문의 컬럼 식별자로 직접 결합되어 SQL 인젝션을 유발하며, 이를 통해 관리자 이메일, 비밀번호 해시 등 민감한 정보를 탈취하거나 데이터를 삭제할 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 특수한 명령어를 섞어 보내면, 시스템이 이를 데이터베이스 명령어로 오해하여 중요한 정보를 유출하거나 삭제할 수 있는 문제입니다. 공격자는 이를 통해 관리자의 비밀번호 정보를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
Traccar is an open source GPS tracking system. Prior to 6.14.0, an authenticated, non-readonly user with access to an object usable in a permission pair can submit DELETE /api/permissions with an extra attacker-controlled JSON key. Permission(LinkedHashMap<String, Long>) in src/main/java/org/traccar/model/Permission.java validates only the first two keys, but DatabaseStorage.removePermission() in src/main/java/org/traccar/storage/DatabaseStorage.java concatenates every map key into the SQL WHERE clause as a column identifier. The extra key therefore becomes attacker-controlled SQL and provides a blind boolean or error oracle that can extract arbitrary database values, including administrator email, password hashes, and salts, or conditionally delete permission rows. Unauthenticated requests are rejected. This issue is fixed in 6.14.0.
📍 영향받는 시스템
Traccar 6.14.0 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 DELETE /api/permissions 요청 시 조작된 JSON 키를 포함하여 SQL 인젝션 공격 수행
🛡️ 대응 방법
Traccar를 최신 보안 패치가 적용된 6.14.0 버전 이상으로 업데이트
🔧 검증 코드
출력 결과에 6.14.0 이상의 버전 번호가 표시되면 취약점이 해결된 상태입니다.
curl -s http://<target_ip>:<port>/api/version | grep -E '6.14.0'