🇰🇷 한글 설명
오픈소스 프로젝트 관리 도구인 Plane의 1.4.0 미만 버전에서 OAuth 아바타 동기화 과정 중 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 내부 리소스로 리다이렉트되는 아바타 URL을 제공하면, 서버가 내부 데이터를 가져와 아바타로 저장하고 이를 외부로 노출할 수 있습니다. 이 문제는 1.4.0 버전에서 수정되었습니다.
💡 쉬운 설명
사용자의 프로필 사진을 가져오는 과정에서 서버가 내부 네트워크의 비밀 정보까지 가져오게 만드는 보안 결함입니다. 공격자는 이 방법을 통해 서버 내부의 민감한 데이터를 훔쳐낼 수 있습니다.
🇺🇸 원문 (English)
Plane is an open-source project management tool. Prior to 1.4.0, Plane's OAuth avatar synchronization flow fetches avatar_url from provider user data through a server-side HTTP request without internal IP validation and follows redirects by default. An attacker can provide an avatar URL that redirects to an internal-only resource, such as a metadata endpoint, and Plane uploads the fetched response as a user avatar file. The object is then exposed through /api/assets/v2/static/{asset_id}/, allowing exfiltration of internally fetched content. This issue is fixed in 1.4.0.
📍 영향받는 시스템
Plane (1.4.0 미만 버전)
⚔️ 공격 벡터
조작된 리다이렉트 URL을 이용한 서버 측 요청 위조(SSRF)를 통한 내부 데이터 탈취
🛡️ 대응 방법
Plane을 최신 버전인 1.4.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 '1.4.0' 이상의 버전 정보가 포함되어 있으면 안전합니다.
curl -s http://<plane-instance-url>/api/version | grep -E '1.4.0'