🎙️ Instagram Notes URL 추출을 통한 오디오 유출 (수정 및 보상 완료)

🛡️ 취약점 요약

[2025년 5월], 저는 Instagram Web에서 모든 사용자가 Note로부터 원본 비디오 파일을 추출하고 공개되어서는 안 되는 배경 오디오에 접근할 수 있는 취약점을 발견했습니다. 이는 비디오가 무음으로 표시되어야 하는 Notes 기능의 프라이버시 모델을 우회했습니다.

⚠️ 이 취약점은 책임감 있게 공개되었고, 확인되었으며, 수정되었습니다. Meta의 버그 바운티 프로그램을 통해 이를 보고했으며, 이 발견으로 $1000를 보상받았습니다. 케이스 ID: 3950957211809485

근본 원인은 특정 서버 노드에서 비디오 Note를 업로드할 때 사용되는 데이터 정화 과정에서 비롯된 것으로 확인되었습니다. 미국 서버에서는 취약점이 나타나지 않아 Meta 엔지니어들이 처음에 문제를 재현하기 어려웠습니다.

🔍 영향

요소를 검사하고 직접 비디오 URL을 복사함으로써, 모든 사용자가 원본 비디오 — 오디오 포함 — 를 검색할 수 있었습니다. Instagram Notes는 오디오 재생을 차단하도록 설계되었음에도 불구하고 말입니다. 이로 인해 사용자가 업로드한 개인 대화, 주변 소음 또는 의도하지 않은 배경 콘텐츠가 노출되었습니다.

🧪 개념 증명

📹 동영상: instagram_notes_audio_leakage.mov

단계:

1. Instagram Web을 열고 비디오 Note를 시청합니다.
2. 브라우저 DevTools를 엽니다 (우클릭 > 검사).
3. <video controls> 또는 <source> 태그를 찾아 src URL을 복사합니다.
4. 새 탭에 URL을 붙여넣습니다.
5. 원본 비디오가 전체 오디오와 함께 재생되어, 프론트엔드의 음소거 설계를 우회합니다.

📄 책임 공개