🇰🇷 한글 설명
TrueLayer.NET SDK의 HttpClient 사용 시 목적지 URL을 악의적으로 제어할 수 있는 취약점입니다. 이를 통해 공격자는 로컬 네트워크나 인터넷의 예상치 못한 리소스로 요청을 보내 정보를 유출할 수 있습니다.
💡 쉬운 설명
프로그램이 데이터를 보내는 주소를 공격자가 마음대로 바꿀 수 있는 문제입니다. 이를 통해 중요한 정보가 엉뚱한 곳으로 전송될 위험이 있습니다.
🇺🇸 원문 (English)
TrueLayer.NET is the .Net client for TrueLayer. The vulnerability could potentially allow a malicious actor to gain control over the destination URL of the HttpClient used in the API classes. For applications using the SDK, requests to unexpected resources on local networks or to the internet could be made which could lead to information disclosure. The issue can be mitigated by having strict egress rules limiting the destinations to which requests can be made, and applying strict validation to any user input passed to the `truelayer-dotnet` library. Versions of TrueLayer.Client `v1.6.0` and later are not affected.
📍 영향받는 시스템
TrueLayer.Client v1.6.0 미만 버전
⚔️ 공격 벡터
사용자 입력값 검증 미흡을 이용한 HttpClient 목적지 URL 조작
🛡️ 대응 방법
TrueLayer.Client를 v1.6.0 이상의 최신 버전으로 업데이트하거나 엄격한 송신 규칙 및 입력값 검증 적용
🔧 검증 코드
출력된 TrueLayer.Client의 버전이 1.6.0 미만인지 확인합니다.
dotnet list package | grep TrueLayer.Client