🇰🇷 한글 설명
athlon1600 youtube-downloader 4.0.1 이하 버전의 public/stream.php 파일 내 stream 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 url 인자를 조작하여 원격에서 서버에 요청을 보낼 수 있으며, 이미 익스플로잇이 공개되어 악용될 가능성이 높습니다. 패치된 커밋에서도 목적지 호스트 제한이 누락되어 있어 여전히 위험합니다.
💡 쉬운 설명
해커가 웹사이트의 주소창을 조작하여 해당 서버가 내부 네트워크나 다른 사이트에 몰래 접속하게 만드는 공격입니다. 이를 통해 서버 내부의 정보를 훔치거나 다른 시스템을 공격하는 통로로 악용될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in athlon1600 youtube-downloader up to 4.0.1. Affected by this vulnerability is the function stream of the file public/stream.php. The manipulation of the argument url results in server-side request forgery. It is possible to launch the attack remotely. The exploit has been made public and could be used. Commit 6ffe823 'better security for public/stream.php' only added CURLOPT_PROTOCOLS http/https restriction and MAXREDIRS cap, does not restrict destination host. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
athlon1600 youtube-downloader 4.0.1 이하 버전
⚔️ 공격 벡터
원격에서 public/stream.php의 url 인자 조작을 통한 SSRF 공격
🛡️ 대응 방법
목적지 호스트(Destination Host)를 화이트리스트 방식으로 제한하도록 소스 코드를 수정하고 업데이트해야 합니다.
🔧 검증 코드
해당 파일이 존재하고, 보안 패치 내용 중 호스트 제한 로직이 없는지 확인합니다.
grep -r "public/stream.php" /path/to/youtube-downloader/ && grep -r "CURLOPT_PROTOCOLS" /path/to/youtube-downloader/ | grep -v "host restriction"