🇰🇷 한글 설명
Thumbor 7.8.0 미만 버전에서 HMAC 검증 과정 중 Python의 .replace() 함수 사용으로 인해 발생하는 보안 취약점입니다. 공격자가 URL에 서명을 중복 삽입하여 검증용 문자열을 조작함으로써, 의도하지 않은 도메인이나 경로의 이미지를 로드할 수 있습니다.
💡 쉬운 설명
이미지 주소가 진짜인지 확인하는 과정에서 글자를 지우는 방식에 허점이 발견되었습니다. 공격자가 가짜 정보를 섞어 넣으면 시스템이 이를 정상적인 주소로 착각하여 보안을 뚫고 다른 이미지를 보여줄 수 있습니다.
🇺🇸 원문 (English)
Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor’s HMAC validation can be bypassed due to the use of Python’s .replace() when removing the signature from the URL before validation. Since .replace() removes all occurrences of the substring, an attacker can insert the same signature multiple times in the URL and manipulate the final URL used for validation. This allows crafting URLs where the validated string differs from the actual requested resource, enabling loading images from unintended domains or paths. This issue is fixed in 7.8.0.
📍 영향받는 시스템
Thumbor versions prior to 7.8.0
⚔️ 공격 벡터
URL 내에 동일한 서명 문자열을 여러 번 삽입하여 HMAC 검증 로직을 우회하는 방식
🛡️ 대응 방법
Thumbor를 최신 보안 패치가 적용된 7.8.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 7.8.0 미만이면 취약한 상태이며, 7.8.0 이상이면 안전합니다.
pip show thumbor 2>/dev/null | grep -E 'Version'