🇰🇷 한글 설명
HarnessRouter 0.31.12 이하 버전의 Targets Test Endpoint 구성 요소 내 gateway/app.py 파일에서 결함이 발견되었습니다. base_url 인자를 조작하면 서버 측 요청 위조(SSRF)가 발생할 수 있으며, 이는 원격에서 공격이 가능합니다.
💡 쉬운 설명
해커가 서버에 가짜 명령을 보내 서버가 내부 네트워크나 다른 사이트에 대신 접속하게 만드는 취약점입니다. 원격에서 공격자가 조작된 주소를 보내면 서버가 의도치 않은 동작을 할 수 있습니다.
🇺🇸 원문 (English)
A flaw has been found in HarnessRouter up to 0.31.12. This impacts an unknown function of the file gateway/app.py of the component Targets Test Endpoint. Executing a manipulation of the argument base_url can lead to server-side request forgery. The attack may be performed from remote. Upgrading to version 0.31.13 will fix this issue. This patch is called 1c4b1fc1f89737dabd089ac1d1c174a57f764e28. It is suggested to upgrade the affected component.
📍 영향받는 시스템
HarnessRouter 0.31.12 이하 버전
⚔️ 공격 벡터
원격에서 base_url 인자 조작을 통한 SSRF 공격
🛡️ 대응 방법
HarnessRouter를 0.31.13 버전 이상으로 업그레이드
🔧 검증 코드
출력된 Version이 0.31.13 미만인 경우 취약한 버전이 설치된 상태입니다.
pip show HarnessRouter 2>/dev/null | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
Spring Cloud Gateway Server