🇰🇷 한글 설명
heym 0.0.105 미만 버전에서 자격 증명이 제공된 기본 URL을 사용하는 통합 서비스에 송신 가드(egress guards)를 적용하지 못하는 취약점이 발견되었습니다. 이를 통해 인증된 사용자가 SSRF 보호를 우회하여 루프백, 내부 네트워크 또는 클라우드 메타데이터 주소에 접근하고 내부 서비스 응답을 읽을 수 있습니다.
💡 쉬운 설명
허가된 사용자가 시스템의 보안 규칙을 속여서 내부 네트워크나 중요한 설정 정보가 담긴 서버에 몰래 접근할 수 있는 문제입니다. 공격자는 이를 통해 외부에서는 볼 수 없는 내부 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
heym before 0.0.105 fails to apply egress guards to integration services that use credential-supplied base URLs, allowing authenticated users to bypass SSRF protections. Attackers can configure credentials pointing to loopback, private, or cloud-metadata addresses and read internal service responses returned as workflow node output.
📍 영향받는 시스템
heym version 0.0.105 미만
⚔️ 공격 벡터
인증된 사용자가 자격 증명에 내부망 주소를 설정하여 SSRF 보호를 우회하는 방식
🛡️ 대응 방법
heym 버전을 0.0.105 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.105 미만이면 취약한 상태입니다.
heym --version 2>/dev/null | grep -E '0\.[0-9]+\.[0-9]+'