🇰🇷 한글 설명
OnionShare 2.6.4 미만 버전에서 CLI 및 데스크톱 앱이 심볼릭 링크를 부적절하게 처리하는 취약점이 발견되었습니다. 이로 인해 Share 또는 Website 모드를 사용하는 원격 수신자가 선택된 디렉터리 외부의 로컬 파일을 읽을 수 있습니다.
💡 쉬운 설명
파일을 공유할 때 사용자가 의도하지 않은 컴퓨터 내부의 다른 중요한 파일까지 외부로 유출될 수 있는 보안 결함입니다. 공격자가 가짜 연결 통로(심볼릭 링크)를 이용해 시스템의 비밀 파일을 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
OnionShare is an open source tool that lets you securely and anonymously share files, host websites, and chat with friends using the Tor network. Prior to 2.6.4, OnionShare CLI/Desktop follows symbolic links in cli/onionshare_cli/web/send_base_mode.py through SendBaseModeWeb.set_file_info() and stream_individual_file(), allowing remote recipients of Share or Website mode to read local files outside the selected directory. This issue is fixed in version 2.6.4.
📍 영향받는 시스템
OnionShare CLI/Desktop 2.6.4 미만 버전
⚔️ 공격 벡터
공유 디렉터리 내에 심볼릭 링크를 생성하여 원격 사용자가 외부 경로의 파일에 접근하도록 유도
🛡️ 대응 방법
OnionShare를 최신 버전인 2.6.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.6.4보다 낮으면 취약한 상태이며, 2.6.4 이상이면 안전합니다.
onionshare --version 2>/dev/null || python3 -c "import onionshare; print(onionshare.__version__)" 2>/dev/null || echo 'Version not found'