🇰🇷 한글 설명
Apache StreamPipes의 파이프라인 요소 설치 과정에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 사용자가 설정한 엔드포인트에 대한 검증이 미흡하여, 공격자가 임의의 주소로 HTTP GET 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
프로그램이 새로운 기능을 설치할 때, 공격자가 지정한 가짜 주소로 접속하게 만들어 내부 네트워크를 공격할 수 있는 문제입니다. 이를 통해 공격자는 원래 접근할 수 없는 서버 정보에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Server-Side Request Forgery (SSRF) vulnerability in Apache StreamPipes during installation process of pipeline elements.
Previously, StreamPipes allowed users to configure custom endpoints from which to install additional pipeline elements.
These endpoints were not properly validated, allowing an attacker to get StreamPipes to send an HTTP GET request to an arbitrary address.
This issue affects Apache StreamPipes: through 0.93.0.
Users are recommended to upgrade to version 0.95.0, which fixes the issue.
📍 영향받는 시스템
Apache StreamPipes 0.93.0 및 그 이전 버전
⚔️ 공격 벡터
설치 과정 중 검증되지 않은 사용자 정의 엔드포인트를 통해 임의의 주소로 HTTP GET 요청을 전송
🛡️ 대응 방법
Apache StreamPipes를 취약점이 해결된 0.95.0 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 0.95.0 미만인 경우 취약한 상태입니다.
curl -s http://localhost:8080/api/v1/version | grep -E '0\.[0-9]{2}\.[0-9]{2}'