🇰🇷 한글 설명
Arcane 2.6.0 미만 버전에서 UpdateUser 함수가 호출자와 대상 간의 권한을 비교하지 않는 취약점이 발견되었습니다. 'delegated users:update' 권한을 가진 사용자가 관리자의 비밀번호를 임의로 변경하여 전체 시스템 관리자 권한을 탈취할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 관리자의 비밀번호를 마음대로 바꿔버릴 수 있는 보안 결함입니다. 이를 통해 공격자는 관리자 계정으로 로그인하여 시스템 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 2.6.0, UpdateUser in backend/api/handlers/users.go sets PasswordHash for any target without comparing caller and target privilege. A holder of delegated users:update permission can submit a password change for the global administrator, replace the administrator password, and authenticate as that account, resulting in complete global administrator account takeover. This issue is fixed in version 2.6.0.
📍 영향받는 시스템
Arcane version < 2.6.0
⚔️ 공격 벡터
권한이 부여된 사용자가 API를 통해 관리자 계정의 PasswordHash를 직접 수정하는 방식
🛡️ 대응 방법
Arcane 버전을 2.6.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.6.0 이상의 버전이 표시되면 취약점이 해결된 상태입니다.
arcane --version 2>/dev/null | grep -E '2\[\.\]6\.[0-9]+'