🇰🇷 한글 설명
Shlink에서 인증된 API 키 보유자가 제목 자동 분석 기능을 악용하여 서버 측 요청 위조(SSRF)를 수행할 수 있는 취약점이 발견되었습니다. 공격자는 조작된 긴 URL을 통해 서버가 내부 네트워크나 클라우드 메타데이터 엔드포인트로 임의의 HTTP GET 요청을 보내게 유도할 수 있습니다. 이를 통해 응답에 포함된 HTML 제목 요소를 통해 내부 서비스 정보를 탈취할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 서버를 속여서 서버 내부의 비밀 정보나 다른 컴퓨터에 접근하게 만드는 보안 약점입니다. 공격자는 이 방법을 통해 서버가 몰래 내부 네트워크 정보를 읽어오도록 만들 수 있습니다.
🇺🇸 원문 (English)
Shlink contains a server-side request forgery vulnerability that allows authenticated API key holders to cause the server to issue arbitrary HTTP GET requests by supplying a crafted long URL during short URL creation with title auto-resolution enabled. Attackers can submit URLs pointing to public hosts that redirect to internal targets, including loopback addresses, link-local ranges, and cloud metadata endpoints such as 169.254.169.254, to exfiltrate internal service information via the HTML title element returned in the short URL creation response.
📍 영향받는 시스템
Shlink (제목 자동 분석 기능이 활성화된 상태)
⚔️ 공격 벡터
인증된 API 키를 사용하여 제목 자동 분석이 활성화된 상태에서 조작된 긴 URL을 짧은 URL 생성 요청에 포함하여 전송
🛡️ 대응 방법
Shlink를 최신 보안 패치가 적용된 버전으로 업데이트하거나, URL 생성 시 제목 자동 분석 기능을 비활성화하십시오.
🔧 검증 코드
응답 결과의 HTML title 요소에 내부 메타데이터 정보가 포함되어 있다면 취약한 상태입니다.
curl -s -X POST https://your-shlink-instance/api/shortUrls -H 'X-Shlink-API-Key: YOUR_API_KEY' -d '{"longUrl":"http://169.254.169.254/latest/meta-data/"}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service