🇰🇷 한글 설명
langchain-ai/langchain 0.1.5 버전의 Web Research Retriever 구성 요소에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점은 외부 인터넷 주소뿐만 아니라 로컬 주소로의 요청을 제한하지 않아, 공격자가 포트 스캔, 로컬 서비스 접근, 클라우드 인스턴스 메타데이터 탈취를 수행할 수 있게 합니다.
💡 쉬운 설명
웹 검색 기능이 내부 네트워크까지 마음대로 접속할 수 있어, 공격자가 이를 이용해 회사 내부 서버나 정보를 몰래 훔쳐볼 수 있는 문제입니다. 공격자는 이 기능을 일종의 통로로 삼아 내부 시스템을 공격할 수 있습니다.
🇺🇸 원문 (English)
A Server-Side Request Forgery (SSRF) vulnerability exists in the Web Research Retriever component of langchain-ai/langchain version 0.1.5. The vulnerability arises because the Web Research Retriever does not restrict requests to remote internet addresses, allowing it to reach local addresses. This flaw enables attackers to execute port scans, access local services, and in some scenarios, read instance metadata from cloud environments. The vulnerability is particularly concerning as it can be exploited to abuse the Web Explorer server as a proxy for web attacks on third parties and interact with servers in the local network, including reading their response data. This could potentially lead to arbitrary code execution, depending on the nature of the local services. The vulnerability is limited to GET requests, as POST requests are not possible, but the impact on confidentiality, integrity, and availability is significant due to the potential for stolen credentials and state-changing interactions with internal APIs.
📍 영향받는 시스템
langchain-ai/langchain version 0.1.5
⚔️ 공격 벡터
Web Research Retriever를 통한 조작된 GET 요청 전송
🛡️ 대응 방법
langchain 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.1.5와 같거나 해당 취약점이 포함된 버전인지 확인하십시오.
pip show langchain | grep Version