🇰🇷 한글 설명
langchain-community 패키지의 RequestsToolkit 구성 요소에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점은 원격 인터넷 주소에 대한 요청 제한을 강제하지 않아 공격자가 로컬 주소나 클라우드 인스턴스 메타데이터에 접근할 수 있게 합니다. 해당 문제는 버전 0.0.28에서 수정되었습니다.
💡 쉬운 설명
프로그램이 외부 인터넷뿐만 아니라 내부 네트워크나 비밀 정보가 담긴 서버 주소로도 요청을 보낼 수 있는 결함입니다. 이를 통해 해커가 내부 시스템을 탐색하거나 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A Server-Side Request Forgery (SSRF) vulnerability exists in the RequestsToolkit component of the langchain-community package (specifically, langchain_community.agent_toolkits.openapi.toolkit.RequestsToolkit) in langchain-ai/langchain version 0.0.27. This vulnerability occurs because the toolkit does not enforce restrictions on requests to remote internet addresses, allowing it to also access local addresses. As a result, an attacker could exploit this flaw to perform port scans, access local services, retrieve instance metadata from cloud environments (e.g., Azure, AWS), and interact with servers on the local network. This issue has been fixed in version 0.0.28.
📍 영향받는 시스템
langchain-ai/langchain version 0.0.27 (langchain_community.agent_toolkits.openapi.toolkit.RequestsToolkit)
⚔️ 공격 벡터
공격자가 조작된 요청을 통해 서버가 내부 네트워크나 클라우드 메타데이터 서비스에 접근하도록 유도함
🛡️ 대응 방법
langchain-community 패키지를 버전 0.0.28 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.0.27 이하이면 취약한 상태이며, 0.0.28 이상이면 안전합니다.
pip show langchain-community | grep Version