🇰🇷 한글 설명
FileBrowser 2.63.19 미만 버전에서 대소문자를 구분하지 않는 파일 시스템을 사용할 경우, 회원가입 시 홈 디렉토리 소유권 확인 과정에 결함이 있습니다. 공격자가 대소문자만 다른 계정을 생성하면 동일한 물리적 디렉토리에 접근할 수 있어, 타인의 파일을 읽거나 수정 및 삭제할 수 있습니다.
💡 쉬운 설명
아이디의 대소문자만 다르게 만들면 시스템이 서로 다른 사람으로 착각하여 같은 폴더를 공유하게 되는 문제입니다. 이를 통해 다른 사용자의 개인 파일을 마음대로 보고 지울 수 있습니다.
🇺🇸 원문 (English)
FileBrowser before 2.63.19 does not account for case-insensitive filesystems when checking home directory ownership during self-registration. When Signup and CreateUserDir are enabled and FileBrowser's root is on a case-insensitive filesystem (confirmed on Windows/NTFS), two self-registered usernames that differ only in letter case (e.g., CaseVictim and casevictim) are stored as distinct accounts but resolve to the same physical home directory, because the scope-ownership check compares the persisted scope as an exact case-sensitive string. A second registrant can therefore read, overwrite, and delete another account's files through authenticated HTTP endpoints, without needing an existing account or victim interaction.
📍 영향받는 시스템
FileBrowser version < 2.63.19 (특히 Windows/NTFS 환경)
⚔️ 공격 벡터
대소문자만 다른 계정을 생성하여 타인의 홈 디렉토리에 접근하는 인증된 HTTP 요청
🛡️ 대응 방법
FileBrowser를 2.63.19 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.63.19보다 낮은지 확인하십시오.
filebrowser --version 2>/dev/null || echo 'Version not found'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows