🇰🇷 한글 설명
Arcane 2.11.0 미만 버전에서 AuthMiddleware.managerAuth의 인증 로직 결함으로 인해 발생합니다. 유효한 X-Arcane-Agent-Token을 가진 공격자가 관리자 권한 확인을 우회하여 /api/debug/pprof/* 경로에 접근할 수 있습니다. 이를 통해 관리자 전용 Go pprof 런타임 및 진단 정보가 노출될 수 있습니다.
💡 쉬운 설명
Arcane이라는 도커 관리 프로그램의 인증 과정에 허점이 있어, 특정 토큰을 가진 사용자가 관리자만 볼 수 있는 시스템 내부 정보를 훔쳐볼 수 있는 문제입니다. 이로 인해 시스템의 상세한 동작 정보가 유출되거나 성능 저하가 발생할 수 있습니다.
🇺🇸 원문 (English)
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 2.11.0, AuthMiddleware.managerAuth accepts X-Arcane-Agent-Token credentials and the environment-token branch calls next before the AdminRequired option is evaluated. An attacker with a valid X-Arcane-Agent-Token can request /api/debug/pprof/* through a route protected by WithAdminRequired because EnvironmentPermissionSet is installed and the request continues without checking IsGlobalAdmin. This exposes administrator-restricted Go pprof runtime and diagnostic information and may impose profiling overhead. This issue is fixed in version 2.11.0.
📍 영향받는 시스템
Arcane versions prior to 2.11.0
⚔️ 공격 벡터
유효한 X-Arcane-Agent-Token을 사용하여 관리자 권한 검증을 우회하고 /api/debug/pprof/* 경로로 요청 전송
🛡️ 대응 방법
Arcane을 2.11.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.11.0 이상의 버전 번호가 포함되어 있으면 안전합니다.
curl -s http://<target-ip>:<port>/version | grep -E '2.11.0'