🇰🇷 한글 설명
Node.js의 ip-utils 패키지 2.4.0 이하에서 특정 IP 주소(0x7f.1 등)가 개인용 주소로 올바르게 인식되지 않아 SSRF 공격이 가능합니다. isPrivate 함수가 거짓값을 반환하면서 이들 주소가 전역 라우팅 가능으로 잘못 분류되어 공격자가 내부 네트워크 자원에 접근할 수 있습니다.
💡 쉬운 설명
IP 주소 검사 도구가 127.0.0.1을 다르게 표현한 주소(0x7f.1)를 제대로 인식하지 못합니다. 이로 인해 내부 서버 접근을 막아야 할 공격이 통과하게 됩니다.
🇺🇸 원문 (English)
The ip-utils package through 2.4.0 for Node.js might allow SSRF because some IP addresses (such as 0x7f.1) are improperly categorized as globally routable via a falsy isPrivate return value.
📍 영향받는 시스템
Node.js ip-utils package ≤ 2.4.0
⚔️ 공격 벡터
16진법 표현 IP(0x7f.1)나 다른 우회 형식을 사용하여 SSRF로 내부 네트워크 자원 접근
🛡️ 대응 방법
ip-utils를 2.4.1 이상으로 업그레이드
🔧 검증 코드
명령어가 결과를 반환하면 취약한 버전이 설치된 상태. 결과가 없으면 안전한 버전이거나 패키지가 설치되지 않은 상태.
npm list ip-utils 2>/dev/null | grep -E 'ip-utils@[0-2]\.[0-4]\.[0-9]'