🇰🇷 한글 설명
오픈 소스 데이터 시각화 분석 도구인 DataEase의 2.10.14 이하 버전에서 발생하는 SSRF 취약점입니다. 개발사가 ldap:// 및 ldaps:// 프로토콜에 대한 블랙리스트 필터링을 적용했으나, dns:// 프로토콜에 대한 보호를 누락하여 취약점이 발생합니다.
💡 쉬운 설명
공격자가 차단되지 않은 특정 주소 형식을 사용하여 서버가 내부 네트워크나 외부의 엉뚱한 곳에 접속하도록 유도할 수 있는 문제입니다. 이를 통해 서버의 보안망을 우회하여 정보를 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
DataEase is an open source data visualization analysis tool. In versions 2.10.14 and below, the vendor added a blacklist to filter ldap:// and ldaps://. However, omission of protection for the dns:// protocol results in an SSRF vulnerability. This issue is fixed in version 2.10.15.
📍 영향받는 시스템
DataEase 2.10.14 및 그 이하 모든 버전
⚔️ 공격 벡터
dns:// 프로토콜을 이용한 SSRF(Server-Side Request Forgery) 공격
🛡️ 대응 방법
DataEase를 최신 보안 패치가 적용된 2.10.15 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.10.14 이하의 버전 번호가 나타나면 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>/api/version | grep -E '2.10.1[0-4]'