🇰🇷 한글 설명
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 이를 악용하면 보안 기능을 우회하고 권한 없이 읽기 접근을 얻을 수 있습니다. 공격에는 피해자가 악성 URL에 접속하거나 침해된 웹 페이지와 상호작용하는 사용자 참여가 필요하며, 영향 범위가 변경됩니다.
💡 쉬운 설명
공격자가 조작된 링크를 통해 쇼핑몰 서버가 내부 자원에 대신 접근하도록 만들 수 있습니다. 이로 인해 보안 장치를 우회하여 본래 접근이 막혀 있던 정보를 열람당할 수 있습니다.
🇺🇸 원문 (English)
Adobe Commerce versions 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 and earlier are affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read access. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
📍 영향받는 시스템
Adobe Commerce 2.4.4-p17 이하 및 해당 패치 이전의 2.4.x 버전 (2.4.9-beta1 포함)
⚔️ 공격 벡터
피해자가 악성 URL을 방문하거나 침해된 웹 페이지와 상호작용하면 서버 측 요청 위조를 통해 내부 자원에 무단 읽기 접근이 발생
🛡️ 대응 방법
Adobe 보안 공지에 명시된 패치 버전(2.4.9 이상, 2.4.8-p4 이상 등 해당 브랜치의 최신 패치)으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 중 해당 브랜치의 취약 버전과 같거나 낮으면 취약하며, 해당 브랜치의 패치 버전 이상이면 조치된 것입니다.
php bin/magento --version 2>/dev/null | grep -oE '2\.4\.[0-9]+(-p[0-9]+)?'