🇰🇷 한글 설명
Lychee 사진 관리 도구 6.6.13 미만 버전의 /api/v2/Photo::fromUrl 엔드포인트에서 심각한 SSRF 취약점이 발견되었습니다. 공격자는 검증되지 않은 URL을 입력하여 서버가 내부 네트워크 리소스나 클라우드 메타데이터 엔드포인트에 요청을 보내도록 유도할 수 있습니다. 이로 인해 내부 포트 스캔이나 민감한 정보 탈취가 가능합니다.
💡 쉬운 설명
사진을 가져오는 기능에 허점이 있어, 공격자가 서버를 조종해 내부 네트워크의 비밀 정보를 훔쳐볼 수 있는 문제입니다. 마치 배달원에게 우리 집 안방까지 들어가서 물건을 가져오라고 시키는 것과 같습니다.
🇺🇸 원문 (English)
Lychee is a free, open-source photo-management tool. Prior to version 6.6.13, a critical Server-Side Request Forgery (SSRF) vulnerability exists in the `/api/v2/Photo::fromUrl` endpoint. This flaw lets an attacker instruct the application’s backend to make HTTP requests to any URL they choose. Consequently, internal network resources—such as localhost services or cloud-provider metadata endpoints—become reachable. The endpoint takes a URL from the user and calls it server-side via fopen() without any safeguards. There is no IP address validation, nor are there any allow-list, timeout, or size restrictions. Because of this, attackers can point the application at internal targets. Using this flaw, an attacker can perform internal port scans or retrieve sensitive cloud metadata. Version 6.6.13 contains a patch for the issue.
📍 영향받는 시스템
Lychee version < 6.6.13
⚔️ 공격 벡터
사용자가 입력한 URL을 서버 측에서 검증 없이 fopen() 함수로 호출하는 방식
🛡️ 대응 방법
Lychee를 최신 보안 패치가 적용된 버전 6.6.13 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 6.6.13 이상의 버전 정보가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<target-lychee-url>/version | grep -E '6.6.13'