🇰🇷 한글 설명
Budibase의 REST 데이터 소스 커넥터에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공식 배포 설정에서 BLACKLIST_IPS 환경 변수가 기본적으로 설정되지 않아 IP 블랙리스트 보호 기능이 무력화되는 문제가 있었으며, 이는 버전 3.33.4에서 패치되었습니다.
💡 쉬운 설명
공격자가 Budibase 서버를 조종하여 내부 네트워크의 다른 컴퓨터에 몰래 접근할 수 있는 보안 구멍이 발견되었습니다. 차단 목록 설정이 기본적으로 비어 있어 모든 공격 요청이 통과되는 상태였습니다.
🇺🇸 원문 (English)
Budibase is an open-source low-code platform. Prior to version 3.33.4, a server-side request forgery (SSRF) vulnerability exists in Budibase's REST datasource connector. The platform's SSRF protection mechanism (IP blacklist) is rendered completely ineffective because the BLACKLIST_IPS environment variable is not set by default in any of the official deployment configurations. When this variable is empty, the blacklist function unconditionally returns false, allowing all requests through without restriction. This issue has been patched in version 3.33.4.
📍 영향받는 시스템
Budibase version 3.33.4 미만 버전
⚔️ 공격 벡터
REST 데이터 소스 커넥터를 이용한 SSRF 공격을 통해 내부 네트워크로의 비정상적인 요청 전송
🛡️ 대응 방법
Budibase를 최신 보안 패치가 적용된 버전 3.33.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.33.4 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:10000/api/health | grep -i 'version' || echo 'Check version via CLI/UI'