🇰🇷 한글 설명
linqi의 사용자 정의 프로세스 생성 기능에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 공격자가 HTTP 요청 구성 요소를 포함한 특정 프로세스를 생성함으로써 서버가 임의의 내부 네트워크로 HTTP 요청을 보내도록 강제할 수 있습니다. 공격자는 응답 차이를 통해 내부 포트 상태를 파악하고 네트워크 정찰을 수행할 수 있습니다.
💡 쉬운 설명
해커가 서버를 속여서 서버가 몰래 내부 네트워크의 다른 컴퓨터들에게 질문을 던지게 만드는 문제입니다. 이를 통해 원래는 접근할 수 없는 내부 시스템의 정보를 몰래 알아낼 수 있습니다.
🇺🇸 원문 (English)
A Server-Side Request Forgery (SSRF) vulnerability in the custom process creation feature of linqi allows an authenticated attacker to probe internal network components. By crafting a specific process containing an HTTP Request component, an attacker can force the server to send arbitrary HTTP requests. By observing the varying application responses (Success, Failed, or 504 Gateway Time-out), the attacker can determine the status of internal ports, leading to internal network reconnaissance.
📍 영향받는 시스템
linqi (사용자 정의 프로세스 생성 기능이 활성화된 버전)
⚔️ 공격 벡터
인증된 공격자가 HTTP 요청이 포함된 특수 프로세스를 생성하여 서버를 통해 내부 네트워크를 스캔함
🛡️ 대응 방법
사용자 정의 프로세스 생성 시 외부/내부 네트워크로의 HTTP 요청을 제한하는 화이트리스트를 적용하거나 해당 기능을 비활성화하십시오.
🔧 검증 코드
설정 파일에서 사용자 정의 프로세스 생성 기능이 활성화되어 있는지 확인하십시오.
grep -r "custom process creation" /path/to/linqi/config 2>/dev/null
💻 영향받는 소프트웨어
IBM WebSphere Application Server