🇰🇷 한글 설명
이벤트 관리 시스템인 Indico의 Flask-Multipass 인증 시스템에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 사용자 제공 URL을 통해 localhost나 클라우드 메타데이터 엔드포인트와 같은 내부 자원에 접근할 수 있습니다. Indico 3.3.10 미만 버전이 이 취약점에 노출되어 있습니다.
💡 쉬운 설명
해커가 시스템을 속여서 내부 네트워크에 있는 중요한 정보나 설정값에 몰래 접근할 수 있는 문제입니다. 이벤트 관리자 권한을 가진 사람이 악의적인 주소를 입력하면 서버 내부의 비밀 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Versions prior to 3.3.10 are vulnerable to server-side request forgery. Indico makes outgoing requests to user-provides URLs in various places. This is mostly intentional and part of Indico's functionality but is never intended to let users access "special" targets such as localhost or cloud metadata endpoints. Users should upgrade to version 3.3.10 to receive a patch. Those who do not have IPs that expose sensitive data without authentication (typically because they do not host Indico on AWS) are not affected. Only event organizers can access endpoints where SSRF could be used to actually see the data returned by such a request. For those who trust their event organizers, the risk is also very limited. For additional security, both before and after patching, one may also use the common proxy-related environment variables (in particular `http_proxy` and `https_proxy`) to force outgoing requests to go through a proxy that limits requests in whatever way you deem useful/necessary. These environment variables would need to be set both on the indico-uwsgi and indico-celery services.
📍 영향받는 시스템
Indico versions prior to 3.3.10
⚔️ 공격 벡터
이벤트 관리자가 사용자 제공 URL 입력란에 내부 네트워크 주소(localhost, cloud metadata 등)를 입력하여 서버가 내부로 요청을 보내게 유도함
🛡️ 대응 방법
Indico를 3.3.10 버전 이상으로 업그레이드하거나, http_proxy 및 https_proxy 환경 변수를 설정하여 외부 요청을 제한하는 프록시를 사용하십시오.
🔧 검증 코드
출력된 버전이 3.3.10 미만인 경우 취약한 버전이 설치된 상태입니다.
indico --version 2>/dev/null | grep -E '3\.[0-3]\.[0-9]{1,2}'