🇰🇷 한글 설명
오픈 소스 연합형 소셜 미디어 플랫폼인 Misskey의 특정 버전에서 인증되지 않은 fetch-rss API에 속도 제한 및 응답 크기 제한이 결여되어 있습니다. 공격자는 이를 통해 무제한의 외부 HTTP 요청을 발생시키거나 동기식 XML 파싱을 유도하여 인스턴스 자원을 고갈시키고 네트워크 서비스를 탐색할 수 있습니다.
💡 쉬운 설명
누구나 접근 가능한 RSS 가져오기 기능에 제한이 없어, 악의적인 요청을 계속 보내 서버를 느리게 만들거나 멈추게 할 수 있습니다. 또한 이 기능을 이용해 서버 내부의 다른 네트워크를 몰래 살펴볼 수도 있습니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. From 12.112.1 until 2026.7.0, the unauthenticated fetch-rss API lacks rate limiting and response-size restrictions and performs synchronous XML parsing. An attacker can trigger unbounded outbound HTTP requests and synchronous parsing, exhausting instance resources, amplifying requests toward third-party servers, or probing network-reachable services even when federation is disabled. This issue is fixed in version 2026.7.0.
📍 영향받는 시스템
Misskey 버전 12.112.1 ~ 2026.7.0 미만
⚔️ 공격 벡터
인증되지 않은 상태에서 fetch-rss API를 이용한 대량의 HTTP 요청 및 악성 XML 데이터 전송
🛡️ 대응 방법
Misskey를 최신 보안 패치가 적용된 버전인 2026.7.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.7.0보다 낮은지 확인하십시오.
misskey --version 2>/dev/null || echo 'Check installed version manually'
💻 영향받는 소프트웨어
Active Directory Federation Services