🇰🇷 한글 설명
Plane(오픈소스 프로젝트 관리 도구)의 0.28.0 이상 1.3.0 미만 버전에서 GHSA-jcc6-f9v6-f7jw 취약점 수정이 불완전합니다. 낮은 권한의 인증된 공격자가 href가 사설 IP로 리다이렉트되는 link 태그를 포함한 HTML 페이지를 'Add link' 기능에 제출하면 Server-Side Request Forgery(SSRF)가 발생할 수 있습니다. 메인 페이지 URL의 리다이렉트는 검증되지만 favicon 가져오기 경로는 검증되지 않습니다. 1.3.0에서 수정되었습니다.
💡 쉬운 설명
사용자가 링크를 추가할 때 서버가 외부 주소를 대신 방문하는 기능에 허점이 있습니다. 공격자가 이를 악용해 서버 내부망의 민감한 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
Plane is an an open-source project management tool. From 0.28.0 to before 1.3.0, the remediation of GHSA-jcc6-f9v6-f7jw is incomplete which could lead to the same full read Server-Side Request Forgery when a normal html page contains a link tag with an href that redirects to a private IP address is supplied to Add link by an authenticated attacker with low privileges. Redirects for the main page URL are validated, but not the favicon fetch path. fetch_and_encode_favicon() still uses requests.get(favicon_url, ...) with the default redirect-following. This vulnerability is fixed in 1.3.0.
📍 영향받는 시스템
Plane 0.28.0 이상 1.3.0 미만 버전
⚔️ 공격 벡터
낮은 권한 계정으로 리다이렉트를 포함한 악성 HTML 링크를 제출해 favicon 요청 경로를 통해 내부 사설 IP에 SSRF 공격 수행
🛡️ 대응 방법
Plane을 1.3.0 이상으로 업그레이드하고, 신뢰할 수 없는 링크 요청에 대해 favicon 가져오기 시 리다이렉트 추적을 비활성화하거나 모든 리다이렉트 대상을 검증
🔧 검증 코드
출력된 version 값이 1.3.0 미만이면 취약하며, 1.3.0 이상이면 수정된 버전입니다 (컨테이너 이름이 다르면 환경에 맞게 수정)
docker exec $(docker ps -qf name=plane) cat /app/package.json 2>/dev/null | grep -E '"version"'