🇰🇷 한글 설명
Zitadel 4.16.2 미만 버전에서 조직 도메인 HTTP 검증 과정 중 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 Go의 기본 http.Get을 악용하여 서버가 내부 리소스나 클라우드 메타데이터 주소로 요청을 보내도록 유도함으로써 내부 네트워크를 스캔할 수 있습니다.
💡 쉬운 설명
해커가 Zitadel 서버를 속여서 서버 내부의 비밀 정보나 다른 컴퓨터에 접근하게 만드는 취약점입니다. 이를 통해 공격자는 회사 내부 네트워크의 구조를 파악하거나 중요한 데이터를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Zitadel before 4.16.2 contains a server-side request forgery vulnerability that allows attackers to make the server request internal resources through organization domain HTTP verification. The challenge fetch uses Go's default http.Get instead of the protected client, so attackers can register domains that redirect to loopback, internal, or cloud metadata addresses to scan ports and map internal networks.
📍 영향받는 시스템
Zitadel 4.16.2 미만 모든 버전
⚔️ 공격 벡터
조직 도메인 등록 시 검증 과정을 악용하여 내부 IP 또는 메타데이터 주소로 리다이렉트 유도
🛡️ 대응 방법
Zitadel을 최신 보안 패치가 적용된 4.16.2 이상의 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 4.16.2 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:8080/health | grep -i 'version' || echo 'Version check required'