🇰🇷 한글 설명
Frigate NVR은 0.16.3 버전 이전에서 /ffprobe 엔드포인트가 사용자 입력 URL을 적절히 검증하지 않아 SSRF 취약점이 존재합니다. 공격자는 이를 이용해 내부 네트워크 자원이나 클라우드 메타데이터 서비스에 HTTP 요청을 보내거나 포트 스캐닝을 수행할 수 있습니다.
💡 쉬운 설명
해커가 조작된 주소를 입력하여 보안이 걸린 내부 네트워크에 몰래 접속을 시도할 수 있는 문제입니다. 이로 인해 내부 정보가 유출되거나 네트워크 구조가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Frigate is a network video recorder (NVR) with realtime local object detection for IP cameras. Prior to version 0.16.3, the /ffprobe endpoint accepts arbitrary user-controlled URLs without proper validation, allowing Server-Side Request Forgery (SSRF) attacks. An attacker can use the Frigate server to make HTTP requests to internal network resources, cloud metadata services, or perform port scanning. This issue has been patched in version 0.16.3.
📍 영향받는 시스템
Frigate NVR 0.16.3 미만 버전
⚔️ 공격 벡터
검증되지 않은 URL을 /ffprobe 엔드포인트에 전달하여 내부 서버로 요청을 유도하는 SSRF 공격
🛡️ 대응 방법
Frigate를 최신 보안 패치가 적용된 0.16.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.16.3 미만의 버전 번호가 출력되면 취약한 상태이며, 아무것도 출력되지 않거나 0.16.3 이상이면 안전합니다.
curl -s http://<FRIGATE_IP>:<PORT>/api/version | grep -E '"version": "0\.(1[0-5]|16)\.[0-2]"'