🇰🇷 한글 설명
Wekan의 보드 가져오기 기능 중 첨부 파일 URL을 처리할 때 검증이 누락되어 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 사용자가 조작된 JSON 데이터를 통해 서버가 내부 네트워크나 클라우드 메타데이터 서비스에 임의의 HTTP 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 가짜 주소를 포함한 파일을 올리면, 서버가 그 주소로 직접 접속을 시도하게 만드는 공격입니다. 이를 통해 서버 내부의 비밀 정보나 접근할 수 없는 내부 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
Wekan is an open source kanban tool built with Meteor. Versions 8.32 and 8.33 are vulnerable to Server-Side Request Forgery (SSRF) via attachment URL loading. During board import in Wekan, attachment URLs from user-supplied JSON data are fetched directly by the server without any URL validation or filtering, affecting both the Wekan and Trello import flows. The parseActivities() and parseActions() methods extract user-controlled attachment URLs, which are then passed directly to Attachments.load() for download with no sanitization. This Server-Side Request Forgery (SSRF) vulnerability allows any authenticated user to make the server issue arbitrary HTTP requests, potentially accessing internal network services such as cloud instance metadata endpoints (exposing IAM credentials), internal databases, and admin panels that are otherwise unreachable from outside the network. This issue has been fixed in version 8.34.
📍 영향받는 시스템
Wekan versions 8.32 and 8.33
⚔️ 공격 벡터
보드 가져오기(Import) 과정에서 조작된 JSON 데이터 내의 첨부 파일 URL을 이용한 SSRF 공격
🛡️ 대응 방법
Wekan을 취약점이 해결된 버전인 8.34 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 8.32 또는 8.33 버전이 나타나면 해당 취약점에 노출된 상태입니다.
npm list -g wekan | grep -E '8.32|8.33'