🇰🇷 한글 설명
오픈 소스 네트워크 비디오 녹화기인 Frigate의 0.17.2 미만 버전에서 WebSocket 핸들러가 사용자 권한을 제대로 검증하지 않는 취약점이 발견되었습니다. 인증된 일반 사용자가 관리자 전용 메시지 토픽을 전송하여 서비스를 재시작하거나 보안 모니터링 기능을 비활성화할 수 있습니다. 이 문제는 0.17.2 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 일반 사용자가 관리자 권한을 가진 것처럼 속여서 카메라 설정을 바꾸거나 시스템을 꺼버릴 수 있는 문제입니다. 보안 카메라 시스템이 제대로 작동하지 않게 만들어 보안 공백을 초래할 수 있습니다.
🇺🇸 원문 (English)
Frigate is an open source network video recorder. Prior to 0.17.2, the WebSocket handler in frigate/comms/ws.py forwards attacker-selected message topics to the dispatcher without checking the authenticated user's role because the nginx authentication subrequest does not provide role-aware authorization to the handler. Any authenticated viewer can send admin-only topics such as restart, notifications/set, and camera detection, recording, snapshot, audio, motion, and enablement settings, causing service restarts or disabling security monitoring functions. Authentication must be enabled and valid viewer credentials are required. This issue is fixed in version 0.17.2.
📍 영향받는 시스템
Frigate 0.17.2 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 WebSocket을 통해 관리자 전용 명령(restart, settings 변경 등)을 전송
🛡️ 대응 방법
Frigate를 최신 버전인 0.17.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.17.2 미만인지 확인하십시오.
python3 -c 'import frigate; print(frigate.__version__)' 2>/dev/null || echo 'Version check failed'