🇰🇷 한글 설명
Obot v0.23.0 미만 버전에서 원격 MCP 서버 등록 시 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 권한이 있는 사용자가 목적지 검증 없이 임의의 URL을 지정할 수 있어, 내부 서비스나 클라우드 메타데이터 엔드포인트에 요청을 보내 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 시스템을 속여 내부 네트워크나 중요한 정보가 담긴 주소로 몰래 접속하게 만드는 취약점입니다. 이를 통해 공격자는 원래 접근할 수 없는 내부 데이터나 비밀번호를 훔쳐낼 수 있습니다.
🇺🇸 원문 (English)
Obot before v0.23.0 contains a server-side request forgery vulnerability in remote MCP server registration that allows privileged users to specify arbitrary URLs without destination validation. Attackers with Power User or higher roles can coerce Obot to make requests to internal services and cloud metadata endpoints, reading responses in error messages to disclose sensitive credentials.
📍 영향받는 시스템
Obot version < 0.23.0
⚔️ 공격 벡터
Power User 이상의 권한을 가진 사용자가 검증되지 않은 임의의 URL을 MCP 서버 등록 시 입력하여 내부 서비스에 요청을 유도함
🛡️ 대응 방법
Obot를 v0.23.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.23.0 미만이면 취약한 상태이며, 0.23.0 이상이면 안전합니다.
python3 -c 'import obot; print(f"Current version: {obot.__version__}")' 2>/dev/null || echo 'Obot not installed'