🇰🇷 한글 설명
오픈 소스 소프트웨어 공급망 보안 도구인 vet의 1.12.4 이하 버전에서 DNS 리바인딩 공격 취약점이 발견되었습니다. HTTP Host 및 Origin 헤더 검증 부재로 인해, SSE 모드에서 MCP 서버로 사용될 경우 공격자가 sqlite3 데이터베이스의 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
보안 도구가 외부 요청을 확인할 때 주소를 제대로 검사하지 않아 발생하는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터에 저장된 중요한 데이터베이스 정보를 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
vet is an open source software supply chain security tool. Versions 1.12.4 and below are vulnerable to a DNS rebinding attack due to lack of HTTP Host and Origin header validation. Data from the vet scan sqlite3 database may be exposed to remote attackers when vet is used as an MCP server in SSE mode with default ports through the sqlite3 query MCP tool. This issue is fixed in version 1.12.5.
📍 영향받는 시스템
vet version 1.12.4 and below
⚔️ 공격 벡터
DNS Rebinding을 이용한 HTTP Host 및 Origin 헤더 검증 우회 공격
🛡️ 대응 방법
vet 버전을 1.12.5 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.12.4 이하의 버전 번호가 출력되면 취약한 상태입니다.
vet --version 2>/dev/null | grep -E '1\.[0-1][0-2]\.[0-4]'