🇰🇷 한글 설명
webfinger.js 라이브러리 2.8.0 이하 버전에서는 localhost 서비스 접근을 제한하지 않아 blind SSRF 공격에 취약합니다. 공격자는 조작된 host, path, port 파라미터를 통해 로컬 네트워크 서비스에 접근 가능합니다. 버전 2.8.1에서 수정되었습니다.
💡 쉬운 설명
이 라이브러리가 내부 네트워크 서비스 접근을 막지 못해 해커가 보이지 않게 내부 정보를 탈취할 수 있습니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
webfinger.js is a TypeScript-based WebFinger client that runs in both browsers and Node.js environments. In versions 2.8.0 and below, the lookup function accepts user addresses for account checking. However, the ActivityPub specification requires preventing access to localhost services in production. This library does not prevent localhost access, only checking for hosts that start with "localhost" and end with a port. Users can exploit this by creating servers that send GET requests with controlled host, path, and port parameters to query services on the instance's host or local network, enabling blind SSRF attacks. This is fixed in version 2.8.1.
📍 영향받는 시스템
webfinger.js 버전 2.8.0 이하 (Node.js 및 브라우저 환경)
⚔️ 공격 벡터
조작된 WebFinger 요청으로 localhost 또는 로컬 네트워크 서비스에 blind SSRF 공격 수행
🛡️ 대응 방법
webfinger.js를 버전 2.8.1 이상으로 업그레이드 (npm install webfinger.js@latest)
🔧 검증 코드
출력된 버전이 2.8.1 이상이면 안전하고, 2.8.0 이하면 업그레이드 필요
npm list webfinger.js 2>/dev/null | grep webfinger.js