🇰🇷 한글 설명
TypeBot 3.16.0 및 이전 버전에서 WhatsApp Cloud API 웹훅 엔드포인트가 Meta의 x-hub-signature-256 HMAC 서명을 검증하지 않는 취약점이 발견되었습니다. 공격자는 노출된 workspaceId와 credentialsId를 이용해 위조된 웹훅 메시지를 전송하여 봇 흐름을 트리거하거나 외부 서비스와 상호작용할 수 있습니다.
💡 쉬운 설명
챗봇 서비스가 전달받은 메시지가 진짜 Meta(WhatsApp)에서 보낸 것인지 확인하는 절차가 빠져 있습니다. 이로 인해 해커가 가짜 메시지를 보내 챗봇을 마음대로 조종하거나 시스템 자원을 낭비하게 만들 수 있습니다.
🇺🇸 원문 (English)
TypeBot is a chatbot builder tool. In versions 3.16.0 and prior, the WhatsApp Cloud API webhook endpoint (POST /v1/workspaces/{workspaceId}/whatsapp/{credentialsId}/webhook) does not verify the x-hub-signature-256 HMAC signature included by Meta in every webhook delivery. The webhook URL exposes both workspaceId and credentialsId as path parameters, which are logged in web server access logs, visible in Meta's webhook configuration dashboard, and potentially shared when configuring integrations. This allows any unauthenticated attacker to send spoofed webhook messages to trigger bot flows, consume API resources, and interact with external services using the workspace owner's credentials. The issue has been fixed in version 3.17.0.
📍 영향받는 시스템
TypeBot 3.16.0 및 그 이전 버전
⚔️ 공격 벡터
노출된 웹훅 URL로 서명 검증 없이 위조된 POST 요청을 전송
🛡️ 대응 방법
TypeBot을 3.17.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 3.17.0 이상인지 확인하여 취약점 해결 여부를 판단합니다.
curl -s http://<target-ip>/version | grep -E '3.17.0|higher'