🇰🇷 한글 설명
오픈 소스 비디오 플랫폼인 WWBN AVideo의 Scheduler 플러그인에서 SSRF 취약점이 발견되었습니다. 관리자가 설정하는 callbackURL이 내부 네트워크 주소나 클라우드 메타데이터 엔드포인트를 차단하는 검증 과정을 거치지 않아 발생합니다. 공격자는 이를 통해 외부에서 접근할 수 없는 내부 API나 클라우드 인프라에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트의 예약 기능에 가짜 주소를 입력하여, 원래는 접근할 수 없는 회사의 내부 컴퓨터나 비밀 정보가 담긴 서버에 몰래 접속하는 공격입니다. 관리자 권한을 가진 사용자가 악의적인 주소를 설정할 경우 내부 네트워크가 위험해질 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. Prior to version 26.0, the Scheduler plugin's `run()` function in `plugin/Scheduler/Scheduler.php` calls `url_get_contents()` with an admin-configurable `callbackURL` that is validated only by `isValidURL()` (URL format check). Unlike other AVideo endpoints that were recently patched for SSRF (GHSA-9x67-f2v7-63rw, GHSA-h39h-7cvg-q7j6), the Scheduler's callback URL is never passed through `isSSRFSafeURL()`, which blocks requests to RFC-1918 private addresses, loopback, and cloud metadata endpoints. An admin can configure a scheduled task with an internal network `callbackURL` to perform SSRF against cloud infrastructure metadata services or internal APIs not otherwise reachable from the internet. Version 26.0 contains a patch for the issue.
📍 영향받는 시스템
WWBN AVideo version 26.0 미만 버전
⚔️ 공격 벡터
Scheduler 플러그인의 callbackURL 설정에 내부 네트워크 또는 클라우드 메타데이터 주소를 입력하여 SSRF 공격 수행
🛡️ 대응 방법
WWBN AVideo를 최신 패치가 적용된 버전 26.0 이상으로 업데이트
🔧 검증 코드
설치된 AVideo의 버전을 확인하여 26.0 미만인 경우 취약한 상태로 판단합니다.
php -r 'include "plugin/Scheduler/Scheduler.php"; echo "Check version 26.0 or higher";' 2>/dev/null || echo "Version check required"