🇰🇷 한글 설명
File Browser 2.63.6 미만 버전에서 비밀번호 최대 길이를 검증하지 않아 발생하는 취약점입니다. 공격자가 로그인 API에 매우 긴 비밀번호를 전송할 경우 CPU와 메모리 사용량이 급증하며, 시스템 크래시 및 도커 데몬 오류를 유발할 수 있습니다.
💡 쉬운 설명
로그인할 때 아주 긴 비밀번호를 입력하여 컴퓨터의 자원을 모두 써버리게 만드는 공격입니다. 이로 인해 서비스가 멈추거나 서버 전체가 느려지고 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. Prior to 2.63.6, unchecked passwords maximums allow for an arbitrarily large password to be passed into the login API. This spikes CPU and memory, and after testing, crashes, heavily lags any container created, and has even made my docker daemon start to send errors with status code 500 even after the container was destroyed. This vulnerability is fixed in 2.63.6.
📍 영향받는 시스템
File Browser 2.63.6 미만 모든 버전
⚔️ 공격 벡터
로그인 API를 통해 검증되지 않은 매우 긴 문자열의 비밀번호를 전송
🛡️ 대응 방법
File Browser를 최신 버전인 2.63.6 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.63.6보다 낮으면 취약한 상태입니다.
filebrowser --version 2>/dev/null | grep -E '2\.[0-9]+\.[0-9]+'