🇰🇷 한글 설명
Netdata 2.0.0부터 2.11.0 버전까지 특정 API 엔드포인트의 인증 설정 오류로 인해 인증되지 않은 사용자가 PUT 요청을 보낼 수 있습니다. 공격자는 이를 통해 설정 파일을 조작하거나 대용량 데이터를 반복적으로 기록하여 디스크 공간을 고갈시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
Netdata라는 모니터링 도구의 보안 구멍을 통해 누구나 허가 없이 설정 파일을 건드릴 수 있는 문제입니다. 공격자가 가짜 데이터를 계속 집어넣어 컴퓨터의 저장 공간을 가득 채워 시스템을 멈추게 만들 수 있습니다.
🇺🇸 원문 (English)
Netdata is an open source observability tool. From 2.0.0 until 2.11.0, Netdata registers /api/v3/settings in src/web/api/v3/web_api_v3.c with HTTP_ACL_NOCHECK and HTTP_ACCESS_ANONYMOUS_DATA, causing unauthenticated PUT requests handled by src/web/api/v3/api_v3_settings.c to bypass operator-configured allow dashboard from IP restrictions. A network-reachable caller can persist attacker-controlled JSON in {varlib}/settings/default.json, manipulate its version counter, and use repeated near-20 MiB writes to consume disk space, although the file does not control collection or security policy. This vulnerability is fixed in 2.11.0.
📍 영향받는 시스템
Netdata version 2.0.0 to 2.11.0
⚔️ 공격 벡터
네트워크를 통해 인증 없이 API 엔드포인트(/api/v3/settings)에 PUT 요청을 보내 디스크 공간을 점유함
🛡️ 대응 방법
Netdata를 최신 버전인 2.11.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.11.0 미만(예: 2.10.x)이면 취약한 상태이며, 2.11.0 이상이면 안전합니다.
netdata --version 2>/dev/null | grep -E '2\.(0|1|2|3|4|5|6|7|8|9|10)\.' || netdata --version