🇰🇷 한글 설명
Travisun Opptrix 0.4.0의 /api/channels/webhook/ 경로에서 preParsing 핸들러의 Buffer.concat 함수에 취약점이 발견되었습니다. 이를 조작하면 서비스 거부(DoS)가 발생하며, 원격에서 공격이 가능하고 공개된 익스플로잇이 존재합니다. 해당 프로젝트는 개발자에 의해 서비스가 종료되고 deprecated 처리되었습니다.
💡 쉬운 설명
웹 서비스의 특정 기능에 잘못된 데이터를 보내면 서버가 멈출 수 있는 문제입니다. 해당 소프트웨어는 더 이상 지원되지 않으므로 사용 중이라면 사용을 중단하거나 대체해야 합니다.
🇺🇸 원문 (English)
A vulnerability was found in Travisun Opptrix 0.4.0. Affected is the function Buffer.concat of the file /api/channels/webhook/ of the component preParsing handler. Performing a manipulation results in denial of service. The attack can be initiated remotely. The exploit has been made public and could be used. The project has been completely taken offline and deprecated. The project maintainer explains: "The mentioned security risk was a design flaw that manifested primarily in local environments during earlier stages of version development. We previously addressed and resolved this specific risk; however, because the project was restricted to a small learning scope and the main versions were intended to run exclusively on localhost, the security fix was only pushed directly to our GitHub repository before it went private." This vulnerability only affects products that are no longer supported by the maintainer.
📍 영향받는 시스템
Travisun Opptrix 0.4.0 (개발자 지원 종료 제품)
⚔️ 공격 벡터
원격에서 webhook 엔드포인트에 조작된 요청을 보내 Buffer.concat 처리를 악용해 서비스 거부를 유발
🛡️ 대응 방법
Opptrix 사용을 중단하고 지원되는 대체 제품으로 전환하거나, 격리된 환경(localhost 전용 등)에서만 운영하며 webhook 경로를 외부에서 차단
🔧 검증 코드
응답 코드가 000이면 서비스가 접근 불가, 200/4xx 등 응답이 오면 해당 엔드포인트가 활성화되어 있으므로 외부 노출 여부와 버전을 추가로 확인해야 합니다.
curl -s -o /dev/null -w '%{http_code}' -X POST http://localhost:3000/api/channels/webhook/ -H 'Content-Type: application/json' -d '{}'