🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.9.3 버전에서 URL 컴포넌트 내 TOCTOU(Time-of-Check/Time-of-Use) 레이스 컨디션으로 인한 SSRF 취약점이 발견되었습니다. 공격자는 DNS 리바인딩 기법을 사용하여 이 취약점을 악용할 수 있습니다.
💡 쉬운 설명
웹사이트가 주소를 확인하는 순간과 실제로 접속하는 순간 사이의 시간차를 이용해 공격자가 원하는 내부 서버로 접속을 유도하는 문제입니다. 이를 통해 공격자는 원래 접근할 수 없는 내부 네트워크 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.9.3 contains a Server-Side Request Forgery (SSRF) vulnerability in the URL component ( src/lfx/src/lfx/components/data_source/url.py ) due to a Time-of-Check/Time-of-Use (TOCTOU) race condition that can be exploited via DNS rebinding.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.9.3
⚔️ 공격 벡터
DNS 리바인딩을 이용한 TOCTOU 레이스 컨디션 공격
🛡️ 대응 방법
Langflow를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.0.0 이상 1.9.3 이하인지 확인하십시오.
pip show langflow | grep Version