🇰🇷 한글 설명
Traccar 6.14.0 미만 버전에서 인증된 사용자가 그룹 간 순환 계층 구조를 생성하여 무한 루프를 유발할 수 있는 취약점이 발견되었습니다. 이로 인해 보고서 요청 시 CPU 사용량이 급증하고 웹 서버의 작업 풀이 고갈되어 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 그룹 설정을 꼬아놓으면 시스템이 끝없이 계산을 반복하게 만드는 문제입니다. 이로 인해 서버가 과부하되어 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
Traccar is an open source GPS tracking system. Prior to 6.14.0, an authenticated user with permission to manage groups and request reports can create a cyclic group-parent hierarchy and request a trips or stops report for a device in that hierarchy. org.traccar.api.resource.GroupResource permits the parent cycle, while org.traccar.helper.model.AttributeUtil.lookup follows group parents without cycle detection, a visited set, or a depth limit. The storage-backed lookup reached through TripsConfig. and ReportUtils.slowTripsAndStops never terminates, pins a Jetty worker at high CPU after the client disconnects, and can exhaust the web/API worker pool when requests are repeated. The position-ingestion cache-backed path is not part of the confirmed affected scope. This issue is fixed in 6.14.0.
📍 영향받는 시스템
Traccar 6.14.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 그룹 관리 권한을 이용해 순환 계층 구조를 생성한 후 보고서 요청을 전송
🛡️ 대응 방법
Traccar를 최신 버전인 6.14.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 6.14.0 이상의 버전 정보가 포함되어 있는지 확인하십시오.
curl -s http://<target_ip>:<port>/api/version | grep -E '6.14.0'