🇰🇷 한글 설명
rclone 1.75.1 미만 버전에서 --auth-proxy를 사용하되 --auth-key를 설정하지 않을 경우, 인증 미들웨어가 임의의 accessKeyID를 빈 비밀키와 함께 등록할 수 있는 취약점이 존재합니다. 공격자는 빈 비밀키를 사용하여 SigV4 서명을 위조함으로써 인증을 우회하고 인증 프록시가 해결하는 백엔드에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
rclone의 특정 설정 오류를 이용해 가짜 신분증을 만들어 보안 검사를 통과하는 취약점입니다. 공격자가 아무런 비밀번호 없이도 허가된 클라우드 저장소에 마음대로 접속할 수 있습니다.
🇺🇸 원문 (English)
rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to 1.75.1, rclone serve s3 configured with --auth-proxy but without --auth-key allows authPairMiddleware to register any client-chosen accessKeyID with an empty ws.s3Secret. gofakes3 then verifies the request’s SigV4 signature against that same empty secret, while Server.auth passes the access key identifier as both the user and authentication value to the proxy without an independent per-identity secret. An unauthenticated network attacker can therefore choose an arbitrary access key, sign with an empty secret, and reach whatever backend the auth-proxy script resolves for that identity. This issue is fixed in version 1.75.1.
📍 영향받는 시스템
rclone versions prior to 1.75.1
⚔️ 공격 벡터
인증되지 않은 네트워크 공격자가 임의의 accessKeyID와 빈 비밀키를 사용하여 SigV4 서명을 위조한 후 인증 프록시를 통해 백엔드에 접근
🛡️ 대응 방법
rclone을 최신 버전인 1.75.1 이상으로 업데이트하거나, --auth-proxy 사용 시 반드시 --auth-key를 함께 설정하십시오.
🔧 검증 코드
출력된 버전 번호가 1.75.1보다 낮으면 해당 취약점에 노출된 상태입니다.
rclone version | grep -E 'rclone v[0-9]+\.[0-9]+\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access