🇰🇷 한글 설명
Misskey의 FileServerService(미디어 프록시)에서 프록시 루프를 감지하지 못하여, 악의적으로 조작된 노트를 통해 자체 전파되는 분산 거부 공격이 가능합니다. 공격자가 중첩된 프록시 요청과 악의적 리다이렉트를 반복하면 무한 재귀가 발생하여 서버를 마비시킬 수 있습니다.
💡 쉬운 설명
Misskey 소셜 미디어의 이미지 서버가 자신으로의 반복 요청을 막지 못해 공격자가 악의적 링크로 서버를 마비시킬 수 있습니다. 서버의 연쇄 리다이렉트가 무한 반복되면서 리소스를 모두 소진하게 됩니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. In affected versions FileServerService (media proxy) in github.com/misskey-dev/misskey 2024.10.1 or earlier did not detect proxy loops, which allows remote actors to execute a self-propagating reflected/amplified distributed denial-of-service via a maliciously crafted note. FileServerService.prototype.proxyHandler did not check incoming requests are not coming from another proxy server. An attacker can execute an amplified denial-of-service by sending a nested proxy request to the server and end the request with a malicious redirect back to another nested proxy request.
Leading to unbounded recursion until the original request is timed out. This issue has been addressed in version 2024.11.0-alpha.3. Users are advised to upgrade. Users unable to upgrade may configure the reverse proxy to block requests to the proxy with an empty User-Agent header or one containing Misskey/. An attacker can not effectively modify the User-Agent header without making another request to the server.
📍 영향받는 시스템
Misskey 2024.10.1 이하
⚔️ 공격 벡터
악의적으로 조작된 노트의 중첩 프록시 요청과 리다이렉트 루프를 통한 무한 재귀 유도
🛡️ 대응 방법
Misskey를 2024.11.0-alpha.3 이상으로 업그레이드하거나 리버스 프록시에서 빈 User-Agent 또는 Misskey/를 포함한 헤더 요청 차단
🔧 검증 코드
출력된 버전이 2024.10.1 이하이면 취약점이 있으며, 2024.11.0-alpha.3 이상이면 패치됨
grep '"version"' package.json 2>/dev/null | grep -oE '[0-9]{4}\.[0-9]{2}\.[0-9]+'