🇰🇷 한글 설명
Apache Fesod (Incubating) fesod-sheet 2.0.2-incubating 버전의 UrlImageConverter 구성 요소에서 DNS 리바인딩을 통한 SSRF 보호 우회 취약점이 발견되었습니다. 공격자가 제어하는 DNS 응답을 사용하여 검증 단계와 실제 연결 단계 사이의 IP 주소를 변경함으로써 제한된 내부 네트워크 주소에 접근할 수 있습니다. 이 문제는 2.1.0-incubating 버전에서 원격 URL 이미지 가져오기 기능을 기본적으로 비활성화하고 명시적인 호스트 허용 목록을 요구함으로써 해결되었습니다.
💡 쉬운 설명
이미지 주소를 확인하는 과정에서 속임수를 써서, 처음에는 안전한 주소인 척하다가 실제로는 내부의 중요한 서버로 접속하게 만드는 공격입니다. 이를 통해 공격자가 접근해서는 안 되는 회사의 내부 시스템에 몰래 들어갈 수 있습니다.
🇺🇸 원문 (English)
Server-Side Request Forgery (SSRF) protection in the UrlImageConverter component of Apache Fesod (Incubating) fesod-sheet 2.0.2-incubating can be bypassed through DNS rebinding. When an application accepts an attacker-controlled image URL for spreadsheet writing, the converter checks the hostname's resolved IP addresses and then opens a separate connection that can resolve the hostname again. An attacker who controls DNS responses for the URL hostname may cause the connection to reach a restricted address after validation. CVE-2026-49328 covers SSRF in releases before 2.0.2-incubating; this issue is a DNS rebinding bypass of the protection in 2.0.2-incubating. Apache Fesod (Incubating) 2.1.0-incubating addresses the reported default-fetch scenario by disabling remote URL image fetching by default and requiring an explicit exact-host allowlist when the feature is enabled. Users should upgrade to 2.1.0-incubating. Applications enabling remote URL image fetching should allowlist only hostnames whose DNS and HTTP services are trusted.
📍 영향받는 시스템
Apache Fesod (Incubating) fesod-sheet 2.0.2-incubating
⚔️ 공격 벡터
DNS 리바인딩을 이용한 SSRF(Server-Side Request Forgery) 우회 공격
🛡️ 대응 방법
Apache Fesod (Incubating) 2.1.0-incubating 버전으로 업그레이드하거나, 원격 URL 이미지 가져오기 시 신뢰할 수 있는 호스트만 허용 목록에 추가하십시오.
🔧 검증 코드
출력된 버전이 2.0.2-incubating 이하이면 취약한 상태이며, 2.1.0-incubating 이상이어야 안전합니다.
dpkg -l | grep fesod-sheet 2>/dev/null || rpm -qa | grep fesod-sheet 2>/dev/null || pip show fesod-sheet 2>/dev/null | grep Version