🇰🇷 한글 설명
Craft 플랫폼의 특정 버전에서 saveAsset GraphQL mutation이 IP 차단 목록을 검증할 때 filter_var 함수를 사용합니다. 이 함수는 16진수나 혼합형과 같은 대체 IP 표기법을 인식하지 못해 차단 목록을 우회할 수 있으며, 이를 통해 공격자가 클라우드 메타데이터 서비스에 접근할 수 있습니다.
💡 쉬운 설명
특정 IP 주소를 막아두었지만, 주소를 다른 형식(16진수 등)으로 바꾸어 입력하면 보안 필터가 이를 알아채지 못하고 통과시키는 문제입니다. 이를 통해 공격자가 서버의 민감한 정보가 담긴 클라우드 관리 서비스에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Craft is a platform for creating digital experiences. In Craft versions 4.0.0-RC1 through 4.16.17 and 5.0.0-RC1 through 5.8.21, the saveAsset GraphQL mutation uses filter_var(..., FILTER_VALIDATE_IP) to block a specific list of IP addresses. However, alternative IP notations (hexadecimal, mixed) are not recognized by this function, allowing attackers to bypass the blocklist and access cloud metadata services. This issue is patched in versions 4.16.18 and 5.8.22.
📍 영향받는 시스템
Craft 4.0.0-RC1 ~ 4.16.17 및 5.0.0-RC1 ~ 5.8.21
⚔️ 공격 벡터
16진수 또는 혼합형 IP 표기법을 사용한 GraphQL mutation 요청을 통한 차단 목록 우회
🛡️ 대응 방법
Craft 버전을 4.16.18 또는 5.8.22 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약 버전 범위(4.16.17 이하 또는 5.8.21 이하)에 해당하면 보안 패치가 필요합니다.
php artisan --version | grep -E '4\.(16\.[0-9]+|1[6-9]\.[0-9]+)|5\.(8\.[0-2][1-9]|[8-9]\.[0-9]+)'