🇰🇷 한글 설명
Spring Cloud Netflix의 특정 버전에서 Hystrix Dashboard의 proxy.stream 엔드포인트를 통해 서버가 접근 가능한 모든 서버로 요청을 보낼 수 있는 취약점이 존재합니다. 공격자는 이를 악용하여 외부로 노출되지 않아야 할 내부 서버에 접근을 시도할 수 있습니다.
💡 쉬운 설명
대시보드 기능을 통해 서버가 내부의 다른 컴퓨터에 대신 명령을 내리게 만드는 취약점입니다. 이를 통해 공격자는 원래 접근할 수 없는 내부 네트워크에 침입할 수 있습니다.
🇺🇸 원문 (English)
Spring Cloud Netflix, versions 2.2.x prior to 2.2.4, versions 2.1.x prior to 2.1.6, and older unsupported versions allow applications to use the Hystrix Dashboard proxy.stream endpoint to make requests to any server reachable by the server hosting the dashboard. A malicious user, or attacker, can send a request to other servers that should not be exposed publicly.
📍 영향받는 시스템
Spring Cloud Netflix 2.2.x (2.2.4 미만), 2.1.x (2.1.6 미만) 및 이전 지원 종료 버전
⚔️ 공격 벡터
Hystrix Dashboard의 proxy.stream 엔드포인트에 조작된 요청을 전송하여 SSRF(Server-Side Request Forgery) 공격 수행
🛡️ 대응 방법
Spring Cloud Netflix를 2.2.4 또는 2.1.6 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 의존성 목록에서 Hystrix 관련 라이브러리의 버전이 취약한 범위(2.2.4 미만 또는 2.1.6 미만)에 있는지 확인
mvn dependency:tree | grep -E 'spring-cloud-starter-netflix-hystrix'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server