🇰🇷 한글 설명
Hugo 정적 사이트 생성기에서 상위 디렉토리의 심볼릭 링크를 적절히 차단하지 못해 경로 제한을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 테마 디렉토리 등에 심볼릭 링크를 배치할 경우, resources.Get이나 os.ReadFile 함수가 이를 따라가 프로젝트 외부의 파일을 읽어 빌드된 사이트에 노출시킬 수 있습니다.
💡 쉬운 설명
웹사이트를 만드는 프로그램인 Hugo의 보안 허점으로 인해, 특정 파일을 가짜 연결 통로(심볼릭 링크)로 만들어 두면 원래 접근하면 안 되는 컴퓨터 내부의 중요한 파일들을 몰래 읽어올 수 있습니다. 이는 사이트 제작자가 악성 파일이 포함된 테마를 사용하거나 공격자가 파일을 심었을 때 발생합니다.
🇺🇸 원문 (English)
Hugo is a static site generator. In versions after v0.123.0 and before v0.165.0, symlinks in parent directories were not dropped during direct resource lookups, allowing path confinement to be bypassed. An attacker who can place — or who convinces a site author to place — a symlink inside a mounted directory (for example, in a locally vendored theme under themes/) can cause functions that perform direct lookups, such as resources.Get and os.ReadFile, to follow that symlink and read files outside the intended project boundaries, disclosing their contents in the built site. Themes mounted as Go modules fetched from GitHub have symlinks stripped on download and are not affected, and multi-directory walks (e.g. content/asset walking) are not affected. This issue is an incomplete-fix follow-up to GHSA-c3wq-j5vh-68rc and GHSA-fw87-fv5r-9fpw; it is fixed in v0.165.0.
📍 영향받는 시스템
Hugo v0.123.0 이후부터 v0.165.0 미만 버전
⚔️ 공격 벡터
테마 디렉토리 등 마운트된 디렉토리에 심볼릭 링크를 삽입하여 경로 제한을 우회하고 외부 파일에 접근
🛡️ 대응 방법
Hugo를 최신 보안 패치가 적용된 v0.165.0 이상 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위(v0.123.x ~ v0.164.x)가 나타나면 해당 버전이 설치되어 있는 상태입니다.
hugo version | grep -E 'v0\[0-1]2[3-9]\.|v0\.1[3-6][0-4]\.'