🇰🇷 한글 설명
Typebot 3.13.1 미만 버전의 웹훅 블록 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 사용자가 커스텀 헤더 주입을 통해 AWS IMDSv2 보호를 우회하고, EKS 노드 역할의 IAM 자격 증명을 탈취하여 클러스터 및 AWS 인프라 전체를 장악할 수 있습니다.
💡 쉬운 설명
챗봇 제작 도구인 Typebot의 특정 기능을 악용하여 서버가 내부의 중요한 보안 정보에 접근하도록 만드는 공격입니다. 이를 통해 해커가 클라우드 서버의 관리자 권한을 통째로 뺏어갈 수 있는 매우 위험한 상태입니다.
🇺🇸 원문 (English)
Typebot is an open-source chatbot builder. In versions prior to 3.13.1, a Server-Side Request Forgery (SSRF) vulnerability in the Typebot webhook block (HTTP Request component) functionality allows authenticated users to make arbitrary HTTP requests from the server, including access to AWS Instance Metadata Service (IMDS). By bypassing IMDSv2 protection through custom header injection, attackers can extract temporary AWS IAM credentials for the EKS node role, leading to complete compromise of the Kubernetes cluster and associated AWS infrastructure. Version 3.13.1 fixes the issue.
📍 영향받는 시스템
Typebot versions prior to 3.13.1
⚔️ 공격 벡터
Webhook block(HTTP Request component)을 통한 커스텀 헤더 주입 및 AWS IMDSv2 우회
🛡️ 대응 방법
Typebot을 최신 버전인 3.13.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.13.1보다 낮은지 확인하십시오.
curl -s http://<typebot-instance>/api/health | grep -oE '"version":"[0-9.]+"'