🇰🇷 한글 설명
AzuraCast 0.24.0 이전 버전에는 WebHooks 권한을 가진 방송국 사용자가 Mastodon, Telegram, GroupMe, RadioReg 커넥터를 통해 UserUrlFilter 보호를 우회할 수 있는 서버 측 요청 위조(SSRF) 취약점이 있습니다. 공격자는 instance_url, api, webhookurl 값을 내부 주소로 설정하고 웹훅 테스트 엔드포인트를 호출하여 loopback, 사설 네트워크, 클라우드 메타데이터 서비스에 접근할 수 있습니다.
💡 쉬운 설명
방송 관리 권한을 가진 사용자가 서버를 이용해 서버 내부에서만 접근 가능한 시스템에 몰래 접속할 수 있는 문제입니다. 클라우드 설정 정보 같은 민감한 데이터가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
AzuraCast before 0.24.0 contains a server-side request forgery vulnerability that allows station users with WebHooks permission to bypass the UserUrlFilter guard via the Mastodon, Telegram, GroupMe, and RadioReg connectors. Attackers can set instance_url, api, or webhookurl to internal addresses and trigger the webhook test endpoint to reach loopback, private-network, or cloud-metadata services.
📍 영향받는 시스템
AzuraCast 0.24.0 미만 버전
⚔️ 공격 벡터
WebHooks 권한을 가진 인증 사용자가 커넥터 설정의 URL 필드에 내부 IP 또는 메타데이터 주소를 입력하고 웹훅 테스트를 실행
🛡️ 대응 방법
AzuraCast를 0.24.0 이상으로 업데이트하고, 웹훅 권한은 신뢰할 수 있는 사용자에게만 부여
🔧 검증 코드
출력된 버전 값이 0.24.0 이상이면 패치가 적용된 것이고, 0.24.0 미만이거나 버전 정보를 찾을 수 없으면 취약할 수 있으므로 설치 방식에 맞게 버전을 직접 확인해야 합니다.
docker exec azuracast cat /var/azuracast/www/composer.json 2>/dev/null | grep -E '"version"|azuracast' || cat /var/azuracast/www/version 2>/dev/null