🇰🇷 한글 설명
AWS SDK for .NET 4.0.0부터 4.0.3.3 미만 버전에서 발생하며, 사용자가 리전 입력 필드에 특정 값을 설정할 경우 AWS API 호출이 존재하지 않거나 AWS가 아닌 호스트로 잘못 라우팅될 수 있습니다. 환경에 접근 권한이 있는 공격자가 리전 값을 잘못 설정하여 의도하지 않은 곳으로 요청을 보낼 수 있는 취약점입니다.
💡 쉬운 설명
프로그램이 AWS 서비스에 연결할 때 주소를 잘못 찾아가게 만드는 문제입니다. 공격자가 주소록의 지역 이름을 조작하여 데이터가 엉뚱한 곳으로 전달되게 만들 수 있습니다.
🇺🇸 원문 (English)
AWS SDK for .NET works with Amazon Web Services to help build scalable solutions with Amazon S3, Amazon DynamoDB, Amazon Glacier, and more. From versions 4.0.0 to before 4.0.3.3, Customer applications could be configured to improperly route AWS API calls to non-existent or non-AWS hosts. This notification is related to the use of specific values for the region input field when calling AWS services. An actor with access to the environment in which the SDK is used could set the region input field to an invalid value. This issue has been patched in version 4.0.3.3.
📍 영향받는 시스템
AWS SDK for .NET versions 4.0.0 to before 4.0.3.3
⚔️ 공격 벡터
환경 변수나 설정 파일 등을 통해 SDK의 리전(region) 입력 필드에 유효하지 않은 값을 주입
🛡️ 대응 방법
AWS SDK for .NET을 버전 4.0.3.3 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 AWSSDK 관련 패키지 버전을 확인하여 4.0.3.3 미만인지 체크
dotnet list package | grep 'AWSSDK' || dotnet list package --include-transitive | grep 'AWSSDK'