🇰🇷 한글 설명
오픈소스 프로젝트 관리 도구인 Plane의 1.4.0 미만 버전에서 GITEA_HOST 검증 미흡으로 인한 보안 취약점이 발견되었습니다. 공격자는 Gitea OAuth 흐름을 악용하여 내부 네트워크의 IP 주소로 요청을 유도함으로써 SSRF(서버 측 요청 위조) 공격을 수행할 수 있습니다. 이 문제는 1.4.0 버전에서 수정되었습니다.
💡 쉬운 설명
공격자가 Plane 서버를 속여서 회사 내부 네트워크에 있는 비밀스러운 서버에 접속하게 만드는 공격입니다. 사용자의 프로필 사진 주소를 조작하여 서버가 내부망을 뒤지게 만들 수 있습니다.
🇺🇸 원문 (English)
Plane is an open-source project management tool. Prior to 1.4.0, Plane validates GITEA_HOST only for its URL scheme and does not reject hosts that resolve to private or internal IP addresses. The four outbound requests in the Gitea OAuth flow are derived from this unvalidated host and do not call validate_url(). In addition, avatar_url is taken from the Gitea user's profile, where users can configure external avatar URLs. After an administrator enables Gitea OAuth for a legitimate instance, a Gitea user can set an internal URL as the profile avatar and log in through Gitea, causing Plane to fetch the internal target without validation. This issue is fixed in 1.4.0.
📍 영향받는 시스템
Plane (version < 1.4.0)
⚔️ 공격 벡터
Gitea OAuth 설정 시 검증되지 않은 호스트 또는 프로필 아바타 URL을 이용한 SSRF 공격
🛡️ 대응 방법
Plane을 1.4.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.4.0 미만이면 취약한 상태이며, 1.4.0 이상이면 안전합니다.
curl -s http://<plane-instance-url>/api/version | grep -E '"version": "1.[4-9]\.'