🇰🇷 한글 설명
Crawl4AI 0.8.7부터 0.9.5 버전 사이의 Docker API 서버에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 URL의 userinfo 파싱 차이점을 악용하여 목적지 체크를 우회하고, 조작된 URL을 통해 내부 호스트의 443 포트에 접속하여 도달 가능성을 확인하거나 인증서 정보를 유출할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 주소를 보내면, 프로그램이 내부 네트워크에 있는 중요한 컴퓨터에 몰래 접속을 시도할 수 있는 문제입니다. 이를 통해 내부 시스템의 정보를 몰래 알아낼 위험이 있습니다.
🇺🇸 원문 (English)
Crawl4AI from 0.8.7 through 0.9.5 contains a server-side request forgery vulnerability in the Docker API server that allows unauthenticated attackers to bypass destination checks via URL userinfo parsing differences. Attackers can set fetch_ssl_certificate=true with crafted userinfo URLs so SSLCertificate.from_url connects to internal hosts on port 443, probing reachability and leaking certificate details.
📍 영향받는 시스템
Crawl4AI 0.8.7 ~ 0.9.5 버전
⚔️ 공격 벡터
조작된 userinfo가 포함된 URL을 통한 SSRF 공격
🛡️ 대응 방법
Crawl4AI를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.8.7 미만이거나 0.9.5를 초과하는지 확인하십시오.
pip show crawl4ai | grep Version