🇰🇷 한글 설명
Vexa 미팅 봇 API의 웹훅 기능에서 인증된 사용자가 임의의 URL을 설정할 수 있는 취약점이 발견되었습니다. 웹훅 URL에 대한 검증이 이루어지지 않아 서버 측 요청 위조(SSRF) 공격이 가능하며, 이를 통해 내부 서비스나 클라우드 메타데이터에 접근할 수 있습니다. 버전 0.10.0-260419-1910에서 이 문제가 해결되었습니다.
💡 쉬운 설명
해커가 권한을 가진 상태에서 가짜 주소를 입력하여, 서버가 내부의 중요한 정보나 다른 컴퓨터에 몰래 접속하게 만드는 공격입니다. 이로 인해 서버의 비밀번호나 내부 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Vexa is an open-source, self-hostable meeting bot API and meeting transcription API. Prior to 0.10.0-260419-1910, the Vexa webhook feature allows authenticated users to configure an arbitrary URL that receives HTTP POST requests when meetings complete. The application performs no validation on the webhook URL, enabling Server-Side Request Forgery (SSRF). An authenticated attacker can set their webhook URL to target internal services (Redis, databases, admin panels), cloud metadata endpoints (AWS/GCP credential theft), and/or localhost services. Version 0.10.0-260419-1910 patches the issue.
📍 영향받는 시스템
Vexa API (0.10.0-260419-1910 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 검증되지 않은 웹훅 URL을 설정하여 내부 네트워크로 HTTP POST 요청을 유도하는 SSRF 공격
🛡️ 대응 방법
Vexa를 버전 0.10.0-260419-1910 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 0.10.0-260419-1910 이상의 버전이 출력되면 취약점이 해결된 상태입니다.
vexabot --version 2>/dev/null | grep -E '0.10.0-260419-1910'