🇰🇷 한글 설명
Netatalk 3.0.3~4.4.2에서 포맷 스트링 인젝션 취약점이 존재하여, 원격 인증된 공격자가 조작된 입력값을 전송하면 서비스 거부 공격이 가능합니다. 포맷 스트링 처리 오류로 인해 메모리 접근이 비정상적으로 발생할 수 있습니다.
💡 쉬운 설명
Netatalk 파일 공유 프로그램에서 특수한 텍스트를 보내면 프로그램이 마비될 수 있습니다. 이미 로그인한 사용자만 가능하며 심각도는 낮습니다.
🇺🇸 원문 (English)
A format string argument mismatch in Netatalk 3.0.3 through 4.4.2 allows a remote authenticated attacker to cause a minor denial of service via crafted input that triggers incorrect format string processing.
📍 영향받는 시스템
Netatalk 3.0.3, 3.1.x, 4.0.x, 4.1.x, 4.2.x, 4.3.x, 4.4.0~4.4.2
⚔️ 공격 벡터
원격 인증된 공격자가 포맷 스트링 문자(%x, %n 등)를 포함한 입력을 전송하여 서비스 거부 유발
🛡️ 대응 방법
Netatalk을 4.4.3 이상의 최신 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 4.4.3 이상이면 안전함. 4.4.2 이하면 업그레이드 필요. 명령어가 아무것도 반환하지 않으면 Netatalk이 설치되지 않은 상태
netatalk -v 2>/dev/null || dpkg -l netatalk 2>/dev/null | grep -oP 'netatalk\s+\K[^\s]+'