🇰🇷 한글 설명
Xibo 디지털 사이니지 플랫폼의 4.4.1 미만 버전에서 발생하는 인증된 서버 측 요청 위조(SSRF) 취약점입니다. DataSet 권한을 가진 사용자가 CMS 서버를 통해 내부 또는 외부 네트워크 리소스로 임의의 HTTP 요청을 보낼 수 있습니다. 이를 통해 내부 인프라 스캔, 클라우드 메타데이터 접근, 인증이 없는 내부 서비스와의 상호작용 및 데이터 유출이 가능합니다.
💡 쉬운 설명
권한을 가진 사용자가 시스템을 속여서 서버가 내부 네트워크의 다른 컴퓨터나 중요한 정보에 몰래 접근하게 만드는 보안 약점입니다. 이를 통해 해커가 내부망의 비밀 정보를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. An authenticated Server-Side Request Forgery (SSRF) vulnerability in versions prior to 4.4.1 allows users with DataSet permissions to make arbitrary HTTP requests from the CMS server to internal or external network resources. This can be exploited to scan internal infrastructure, access local cloud metadata endpoints (e.g., AWS IMDS), interact with internal services that lack authentication, or exfiltrate data. Exploitation of the vulnerability is possible on behalf of an authorized user who has both of the following privileges, which are not granted to non-admins as standard: Include "Add DataSet" button to allow for additional DataSets to be created independently to Layouts. Users should upgrade to version 4.4.1 which fixes this issue. Upgrading to a fixed version is necessary to remediate. Users unable to upgrade should revoke such privileges from users they do not trust.
📍 영향받는 시스템
Xibo CMS versions prior to 4.4.1
⚔️ 공격 벡터
DataSet 생성 권한을 가진 인증된 사용자가 악의적인 HTTP 요청을 CMS 서버에 전달하여 실행
🛡️ 대응 방법
Xibo를 4.4.1 버전 이상으로 업그레이드하거나, 신뢰할 수 없는 사용자로부터 DataSet 관련 권한을 회수하십시오.
🔧 검증 코드
명령어 결과에 4.4.1 이상의 버전 번호가 나타나면 취약점이 해결된 상태입니다.
curl -s http://<XIBO_SERVER_URL>/api/version | grep -E '4.4.1'